APT36: Новая угроза с использованием поддельных правительственных сайтов
Совсем недавно обнаружена новая кампания хакеров, применяющих методы, схожие с тактиками группы APT36. В данном случае злоумышленники использовали официальные изображения и фирменный знак Министерства обороны Индии для развертывания кроссплатформенного вредоносного ПО. Эти действия напоминают атаки ClickFix, нацеленные на доверие пользователей через имитацию правительственных ресурсов.
Методы атаки
Основная идея заключается в создании мошеннических веб-сайтов, которые на 100% копируют правительственные веб-ресурсы. Для размещения вредоносного контента используется взломанный домен. Ярким примером такого домена является email.gov.in.drdosurvey.info, который полностью воспроизводит визуальные элементы официального сайта Министерства обороны.
Этапы операции
Операция начинается с обработки пользователей через клонированную веб-страницу, созданную с помощью инструмента HTTrack. Ключевые моменты:
- Клонирование произошло в марте 2025 года, согласно метаданным.
- Для пользователей Linux отображается интерфейс с капчей, что затрудняет обнаружение мошенничества.
- Пользователи Windows перенаправляются на страницу с правительственным оповещением.
Технические аспекты
При взаимодействии с поддельной страницей пользователи устанавливаются в окружение социальной инженерии. Например:
- На Linux выполняется скрипт mapeal.sh, который подготавливает пользователей к возможной утечке данных.
- На Windows запрашивается разрешение на выполнение JavaScript, что запускает вредоносный код через mshta.exe.
После этого пользователи видят поддельный PDF-файл, имитирующий документы Министерства обороны Индии, что задерживает их на этапе распознавания угрозы.
Значение и выводы
По данным Hunt.io, наблюдаются признаки, связывающие данную операцию с вредоносной активностью, такие как:
- Использование доменов, имитирующих поддомены правительства Индии.
- Регистрация через сервис Namecheap.
- Орфографические ошибки в запросах, направленные на обход систем обнаружения.
Стратегия кампании, несомненно, отражает особенности APT36, которая фокусируется на нацеливании правительственных учреждений. Исследователи предупреждают о необходимости повышенной бдительности к подобным тактикам, так как они могут сигнализировать о начале более серьезных угроз.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
