Кампания фишинга, предположительно связанная с APT28, распространяла загрузчик Covenant Grunt

Исследователи описали предположительную кампанию целевого фишинга APT28 (Fancy Bear) против русскоязычных организаций. Среди обнаруженных файлов Microsoft Office были документы форматов .xls и .docm, в том числе accounts.xls. В документах нашли исполняемое содержимое, встроенное в структуры OLE. Это указывает на то, что файлы Office использовались как средство доставки.

Загрузчик бэкдора Covenant Grunt маскировался под файл журнала и включал функции противодействия анализу. Он обнаруживал среды отладки и анализа, а также использовал длительные периоды сна, рассчитанные на то, чтобы превысить автоматизированные временные окна выполнения песочниц. Вредоносные документы также применяли инъекцию шеллкода в подписанную утилиту Windows rundll32 для выполнения полезной нагрузки и потенциального обхода средств защиты.

По данным сетевого анализа, вредоносное ПО взаимодействовало с инфраструктурой Dropbox, включая домен dropbox.com и IP-адрес 162.125.248.18. Исследователи оценивают это как использование легитимного облачного сервиса для управления или получения данных через промежуточный сервис (dead-drop resolution). Такой трафик мог сливаться с обычной облачной активностью предприятия и затруднять обнаружение на основе сетевого анализа.

Обнаружение опиралось на поведенческие правила и правила идентификации вредоносного ПО. Одно из правил выявляло загрузчик Covenant Grunt и использовалось для связывания активности с APT28. Другое фиксировало инъекцию шеллкода в rundll32 со стороны документа. Отдельное правило обнаруживало встроенный переносимый исполняемый файл в структуре OLE.

Исследователи также описывают активность как соответствующую данным об Operation NeuSploit и активности кампании, связанной с CVE-2026-21509.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.