Имитация активности использует поддельные вакансии для доставки вредоносного ПО SignedConnection

Имитация действий противника воспроизводит активность, приписываемую Charming Kitten, также известной как TA455. Она нацелена на сотрудников аэрокосмической, авиационной и оборонной отраслей на Ближнем Востоке, в частности в Израиле и ОАЭ. По имеющимся данным, активность началась в сентябре 2023 года; её география могла расшириться на Турцию, Индию и Албанию. Пересечения с другими операциями не подтверждают происхождение смоделированного вредоносного ПО от Lazarus, TA455 или какого-либо конкретного злоумышленника.

Для доставки приманки Dream Job используют поддельные профили рекрутеров в LinkedIn и вымышленную компанию Careers 2 Find. Потенциальных жертв перенаправляют на сайт по подбору персонала careers2find.com с правдоподобными вакансиями, например «Менеджер по проектированию авиационных систем». Посетителям предлагают скачать PDF-файл и архив SignedConnection.zip. В архиве находятся исполняемый файл SignedConnection.exe, легитимные библиотеки среды выполнения и вредоносная библиотека secur32.dll.

При запуске исполняемого файла перехват порядка поиска DLL загружает вредоносную библиотеку в контексте доверенного приложения. Исполняемый файл отображает поддельный интерфейс для трудоустройства или входа в систему, а DLL запускает следующий этап.

Вредоносное ПО SnailResin, также обозначенное как SignedConnection, действует на хосте и в сети. Оно определяет публичный IP-адрес через api.ipify.org и получает закодированные данные управления из скомпрометированной учётной записи GitHub с именем msdndegsupport. Вредоносное ПО использует данные в кодировке ASCII и взаимодействует с инфраструктурой C2 по протоколу HTTPS. Для сокрытия базовых серверов и смешивания трафика с легитимными облачными сервисами применяется Cloudflare. Платформа способна получать команды и выводить данные.

В описанной кампании используют социальную инженерию, доверенные платформы, подмену DLL, облачную инфраструктуру и меры противодействия анализу, направленные на снижение вероятности обнаружения. Симуляция также воспроизводит техники, связанные с операциями Lazarus Dream Job, что может вызвать путаницу при атрибуции. Срабатывания антивирусных решений связывали похожие образцы с Kimsuky или Lazarus, однако эти пересечения не подтверждают их происхождение от этих группировок.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.