Кибератаки на правительство: новые угрозы утечки данных

В марте 2025 года правительственная группа реагирования на компьютерные чрезвычайные ситуации CERT-UA зафиксировала не менее трех кибератак, нацеленных на правительственные учреждения и критически важную инфраструктуру. Эти инциденты подчеркивают растущую угроза утечек данных и необходимость усиленной киберзащиты.

Методы атак

Атаки, задокументированные CERT-UA, включали рассылку электронных писем, содержащих ссылки на общедоступные файловые сервисы, такие как DropMeFiles и Google Drive. Это часто приводило к загрузке и выполнению вредоносного кода. Основные аспекты атак:

• Использование загрузчика на VBScript с расширением .js.
• Запуск скрипта, который извлекает и выполняет сценарий PowerShell.
• Проведение поиска и загрузки файлов с помощью команды cURL, ориентируясь на документы с расширениями .doc, .pdf, и графические файлы формата .jpg.
• Способность делать скриншоты с компьютера жертвы.

История использования методов

Анализ показывает, что данные методы атаки использовались, как минимум, с осени 2024 года. В предыдущем году также наблюдалось развертывание исполняемых файлов, созданных с помощью установщика NSIS, которые содержали:

• Документы-приманки.
• Программу VBScript stealer.
• Графический редактор IrfanView для создания скриншотов.

С начала 2025 года акцент сместился на PowerShell scripting с использованием подобных методов.

Идентификация угрозы

Основная вредоносная программа, связанная с этими атаками, была идентифицирована как WRECKSTEEL, и ее действия отслеживаются под идентификатором UAC-0219. Эта угроза подчеркивает важность бдительности, поскольку нерезидентная природа похитителя может затруднить его обнаружение.

Рекомендации CERT-UA

CERT-UA настоятельно рекомендует:

• Немедленно сообщать о любых подозрительных действиях.
• Усилить меры киберзащиты для предотвращения дальнейших инцидентов.

Учитывая страсть киберпреступников и их меняющиеся методы, важно оставаться на страже и повышать уровень осведомленности о потенциальных угрозах.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.