Inveigh применяли для сбора учетных данных при предполагаемом вторжении
В открытом каталоге по адресу 193.29.104.84:8099 обнаружили скрипты, конфигурации PowerShell и исполняемые файлы, связанные с предположительным вторжением против ядерного, энергетического и промышленного секторов Пакистана. Собранные данные указывают на разведку в поисках конфиденциальной информации о ядерных объектах, энергосетях и системах промышленного управления, но не подтверждают конкретную жертву. Исследователи оценили, что активность может быть связана с группировкой DoNot, также известной как APT-C-35 или SectorE02. Эта оценка основана на косвенных признаках.
Поиск данных и сбор учётных записей
Пакетные файлы искали в профилях пользователей и артефактах браузеров упоминания PAEC, Chashma, KANUPP, SCADA и Modbus. Другие скрипты собирали сведения о недавних файлах, содержимом рабочего стола, папке «Документы», данных Chrome, истории браузера и сетевых ярлыках пользователя ELECTRICAL.
Инструментарий активно использовал Inveigh для сбора учётных записей. Несколько конфигураций отравляли запросы LLMNR, NBNS и mDNS, чтобы перехватывать хэши NetNTLM с систем в локальной сети. В более поздних версиях Inveigh запускался через скрытый дочерний процесс PowerShell, а стандартные потоки ввода и вывода перенаправлялись. Некоторые конфигурации изменяли переменные домена или среды, имитируя рабочую группу либо OGDCL. Это могло сделать активность по отравлению запросов более правдоподобной.
Скрипт для горизонтального перемещения, по сообщениям, использовал собранные учётные данные для атак примерно на 30 хостов в сети 192.168.6.0/24 и административных общих ресурсах. Среди материалов также были обратные оболочки и загрузчики.
Исполняемые файлы и инфраструктура
Три бинарных файла на Go подключались к 179.43.145.232:80, 179.43.145.232:61135 или 193.29.104.84:45600 и обеспечивали удалённое выполнение команд через cmd.exe. Изменения в разработке включали удаление символов, шифрование TLS и переход на другую инфраструктуру управления.
Файл Beacon-trydnd1.exe опрашивал сервер по HTTP, получал команды через заголовки ответов и поддерживал внедрение кода в процессы. Другой исполняемый файл, rv88b.exe, загружал полезную нагрузку Metasploit x64 reverse-shell. Встроенные бинарные файлы curl загружали Inveigh и связанные компоненты в каталог промежуточного хранения в профиле пользователя.
В ходе активности проверяли окружение, доступность C2-серверов и возможность записи в каталоги, картировали сеть, а также параллельно выполняли команды в оболочках PowerShell и Go. Исследователи связали возможную принадлежность к DoNot со сходствами в инфраструктуре и тактиках, в том числе с путями промежуточного хранения файлов, поведением запланированных задач и предыдущими кампаниями, направленными против Пакистана.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
