Phishing-Kampagne richtet sich gegen ukrainische Militäreinheiten
Ukrainische Militärorganisationen sind zum Brennpunkt einer Phishing-Kampagne geworden, die Drohnenhandbücher ausnutzt, um ein Go-basiertes Open-Source-Post-Exploitation-Toolkit namens Merlin bereitzustellen.
Die Securonix-Forscher Den Iuzvyk, Tim Peck und Oleg Kolesnikov berichteten in einem mit The Hacker News geteilten Dokument, dass Cyberkriminelle begonnen haben, Schadsoftware zu verbreiten, da Drohnen, auch als unbemannte Luftfahrzeuge (UAVs) bekannt, zu einem unverzichtbaren Werkzeug im Arsenal des ukrainischen Militärs geworden sind Lockdateien, getarnt als UAV-Servicehandbücher.
Nutzlast der Anfangsstufe in Hilfedateien versteckt
Diese Kampagne, die den Namen STARK#VORTEX trägt und vom Cybersicherheitsunternehmen überwacht wird, startet mit einer Microsoft Compiled HTML Help (CHM)-Datei. Sobald diese Datei geöffnet wird, aktiviert sie schädliches JavaScript, das in eine der HTML-Seiten eingebettet ist, und löst so PowerShell-Code aus. Dieser PowerShell-Code soll Kontakt mit einem Remote-Server herstellen, um eine verschleierte Binärdatei abzurufen.
Nach der Dekodierung enthüllt die Windows-basierte Nutzlast den Merlin-Agenten, der dann so konfiguriert wird, dass er eine Kommunikation mit einem Command-and-Control-Server (C2) herstellt. Dies ermöglicht es den Cyberkriminellen, die Kontrolle über den kompromittierten Host zu übernehmen und Maßnahmen nach der Ausnutzung durchzuführen.
Die Forscher stellten fest, dass die Angriffskette zwar relativ unkompliziert erscheint, die Angreifer jedoch komplizierte Taktiken, Techniken und Verfahren (TTPs) und Verschleierungsmethoden eingesetzt haben, um einer Entdeckung zu entgehen.
Dies ist das erste Mal, dass ukrainische Regierungsstellen mithilfe des Merlin-Toolkits angegriffen wurden. Anfang August 2023 enthüllte das Computer Emergency Response Team der Ukraine (CERT-UA) eine ähnliche Angriffskette, die CHM-Dateien als Lockvögel nutzte, um Computer mit diesem Open-Source-Tool zu infizieren. CERT-UA führte diese Eingriffe einem Bedrohungsakteur zu, den es unter dem Namen UAC-0154 verfolgt.
Die Forscher betonten, dass die in dieser Angriffskette verwendeten Dateien und Dokumente die Fähigkeit besitzen, Sicherheitsmaßnahmen zu umgehen. Sie stellten fest, dass es zwar ungewöhnlich erscheinen mag, eine Microsoft-Hilfedatei über das Internet zu erhalten, die Angreifer diese Lockdokumente jedoch so gestaltet haben, dass sie etwas ähneln, das ein ahnungsloses Opfer in einem Dokument oder einer Datei mit Hilfethema erwarten könnte.
