Manlinghua (APT-C-08): фишинг через файлы приложений и запланированные задачи
Источник: mp.weixin.qq.com
Исследователи зафиксировали новую тактику злоумышленников из группы Manlinghua, также идентифицируемой как APT-C-08: фишинг с доставкой кажущихся безобидными файлов приложений. После запуска такие файлы служат «воротами» для удалённой установки дополнительных вредоносных компонентов и развёртывания многоэтапной кампании компрометации.
Как именно происходит компрометация
- Атака начинается с фишингового письма или другой социальной инженерии, цель которой — заставить пользователя открыть присланный файл приложения.
- При выполнении этот файл реализует механизм удалённой установки дополнительных вредоносных модулей, расширяющих функциональность атаки.
- Ключевой элемент стратегии — создание и использование запланированных задач на инфицированном устройстве.
«Ключевым аспектом этой стратегии атаки является создание запланированных задач на зараженных компьютерах.»
Роль запланированных задач в кампании
Запланированные задачи в данной схеме выполняют несколько важных функций одновременно:
- периодический сбор и отправка информации — в частности, имён компьютеров и имён пользователей — обратно операторам кампании;
- поддержка постоянного доступа и облегчение дальнейшего развертывания вредоносных компонентов;
- создание устойчивой разведывательной площадки, позволяющей злоумышленникам лучше ориентироваться в окружении жертвы и повышать эффективность следующих этапов атаки.
Последствия для безопасности организаций
Подход Manlinghua демонстрирует, насколько опасны целевые фишинговые кампании, использующие легитимно выглядящие исполняемые файлы и встроенные механизмы ОС (такие как планировщик задач). Такая комбинация обеспечивает злоумышленникам:
- возможность долгосрочного скрытого присутствия в сети;
- доступ к сведениям о среде жертвы, необходимым для эскалации атак;
- ускоренное распространение дополнительных вредоносных модулей.
Коротко
Manlinghua (APT-C-08) использует фишинг с файлами приложений как входную точку, а затем опирается на запланированные задачи для поддержания доступа, сбора разведданных и упрощения дальнейшего распространения вредоносного ПО. Это подчёркивает необходимость повышенной бдительности при работе с полученными файлами и мониторинга активности планировщика задач в инфраструктуре.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
