Phishingcampagne richt zich op Oekraïense militaire entiteiten
Oekraïense militaire organisaties zijn het middelpunt geworden van een phishing-campagne die dronehandleidingen exploiteert om een op Go gebaseerde open-source post-exploitatietoolkit te leveren met de naam Merlin.
Securonix-onderzoekers Den Iuzvyk, Tim Peck en Oleg Kolesnikov meldden in een document gedeeld met The Hacker News dat omdat drones, ook bekend als Unmanned Aerial Vehicles (UAV’s), een essentieel instrument zijn geworden in het arsenaal van het Oekraïense leger, cybercriminelen kwaadwillige wapens zijn gaan circuleren. lokken-bestanden vermomd als UAV-servicehandleidingen.
Initiële fase Payload verborgen in Help-bestanden
Deze campagne, die de naam STARK#VORTEX draagt en wordt gecontroleerd door het cyberbeveiligingsbedrijf, begint met een Microsoft Compiled HTML Help (CHM)-bestand. Zodra dit bestand wordt geopend, wordt kwaadaardig JavaScript geactiveerd dat is ingebed in een van de HTML-pagina's, waardoor PowerShell-code wordt geactiveerd. Deze PowerShell-code is ontworpen om contact te maken met een externe server om een versluierd binair bestand op te halen.
Na het decoderen onthult de op Windows gebaseerde payload de Merlin Agent, die vervolgens wordt geconfigureerd om communicatie tot stand te brengen met een command-and-control (C2)-server. Hierdoor kunnen cybercriminelen de controle over de gecompromitteerde host overnemen en post-exploitatieacties uitvoeren.
De onderzoekers merkten op dat, hoewel de aanvalsketen relatief eenvoudig lijkt, de aanvallers ingewikkelde tactieken, technieken en procedures (TTP's) en verduisteringsmethoden hebben gebruikt om detectie te omzeilen.
Dit is het eerste geval waarin Oekraïense overheidsinstanties het doelwit zijn met behulp van de Merlin-toolkit. Begin augustus 2023 maakte het Computer Emergency Response Team van Oekraïne (CERT-UA) een soortgelijke aanvalsketen bekend, waarbij CHM-bestanden werden gebruikt als lokmiddel om computers te infecteren met deze open-source tool. CERT-UA schreef deze inbraken toe aan een bedreigingsacteur die het volgt onder de naam UAC-0154.
De onderzoekers benadrukten dat de bestanden en documenten die in deze aanvalsketen worden gebruikt, de mogelijkheid hebben om beveiligingsmaatregelen te omzeilen. Ze merkten op dat hoewel het misschien ongebruikelijk lijkt om een Microsoft-helpbestand via internet te ontvangen, de aanvallers deze lokdocumenten zo hebben vormgegeven dat ze lijken op iets dat een nietsvermoedend slachtoffer zou verwachten tegen te komen in een document of bestand met een Help-thema.
