Podejrzane pliki na Signalu. To rosyjski phishing

Działania Rosjan na froncie cybernetycznym nie maleją od rozpoczęcia pełnoskalowej inwazji tego kraju na Ukrainę. Jednym z najważniejszych celów dla Moskwy jest infrastruktura krytyczna, także w Polsce – na naszych łamach przedstawialiśmy cyberataki wymierzone w szpitale czy oczyszczalnie ścieków.

Malware śledzące użytkownika

O kolejnym incydencie związanym z działaniami rosyjskich aktorów zagrożeń poinformował zespół CERT-UA. Eksperci cyberbezpieczeństwa w marcu i kwietniu zidentyfikowali na komputerach dwa malware, nazwane BeardShell i SlimAgent. Pierwszy z nich funkcjonował jako backdoor zdolny do wykonywania skryptów PowerShell.

Zarządzanie BearShell odbywało się za pomocą API Icedrive, zaś każdy z zainfekowanych nim komputerów miał przypisany osobny folder. W przypadku SlimAgenta podstawową funkcjonalnością było wykonywanie zrzutów ekranu. Następnie były one szyfrowane i zapisywane lokalnie na komputerze.

Phishing i GRU. Były ostrzeżenia

Początkowo nie było wiadomo, jak złośliwe oprogramowanie znalazło się na komputerze. Przełom przyszedł w maju, gdy odkryto, że do infekcji dochodziło za pośrednictwem komunikatora Signal, w którym ofiara otrzymywała plik .doc. Jak wskazuje serwis The Record, zawierał on złośliwe makra. 

Co istotne, atakujący wiedzieli dokładnie, kto jest ich celem. Przynęta była przygotowana w taki sposób, aby przekonała odbiorcę wiadomości do otwarcia niebezpiecznego pliku.

Według informacji CERT-UA, za przeprowadzenie ataku odpowiada APT28, czyli rosyjska jednostka GRU 26165. Dokładnie przed nią ostrzegały służby NATO, w tym ABW i SKW – informowaliśmy o tym na naszych łamach. Nie jest zaskoczeniem również wykorzystanie Signala do phishingu; przed atakami podszywającymi się pod obsługę komunikatora ostrzegało zarówno Ministerstwo Cyfryzacji, jak i DKWOC.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].