Новая тактика Nobelium делает кибератаки практически незаметными
Группировка начала использовать Google Drive и Dropbox, чтобы избежать обнаружения.
Хакеры из Nobelium (она же APT29 или Cozy Bear ) пользуются доверием пользователей к облачным сервисам хранения данных и используют их для распространения вредоносного ПО. Такая тактика делает крайне усложняет обнаружение и остановку кибератаки.
Схема, изображающая фишинговую кампанию Nobelium
Согласно сообщению аналитиков Unit 42 ( Palo Alto Networks ), группировка применила новую тактику в своих последних кампаниях, направленных на западные дипломатические представительства и иностранные посольства по всему миру с начала мая по июнь 2022 года.
В своих последних атаках Nobelium использует фишинговые сообщения со ссылкой на вредоносный HTML-файл под названием agenda.html, который выступает в качестве дроппера для дополнительной вредоносной полезной нагрузки, включающей в себя маяк Cobalt Strike. Этот HTML-файл является инструментом EnvyScout, который используется для заражения жертвы другим вредоносным ПО.
Nobelium применяет EnvyScout для деобфускации полезной нагрузки, а также для загрузки вредоносного ISO-файла (agenda.iso) на жесткий диск жертвы. После загрузки ISO-файла жертва должна кликнуть по нему, а потом и появившемуся lnk-файлу, чтобы запустить вредоносный код и цепочку заражения на своей системе.
“Популярность облачного сервиса хранения данных от Google, а также доверие к нему миллионов пользователей по всему миру делает использование таких сервисов для доставки вредоносного ПО от этой APT крайне тревожным”, – сказали аналитики.
SOC как супергерой: не спит, не ест, следит за безопасностью!
И мы тоже не спим, чтобы держать вас в курсе всех угроз