Хакери використали шкідливий макрос у Word-документі для атаки на науково-дослідну установу України

Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA дослідила кібератаку злочинного угруповання UAC-0063 на одну з українських науково-дослідних установ, що сталася 8 липня. Є підстави асоціювати цю злочинну активність з угрупуванням APT28 (UAC-0001), що афілійоване з військовою розвідкою рф.

Зловмисники отримали доступ до облікового запису електронної пошти одного зі співробітників, скориставшись недостатньою увагою до кіберзахисту з боку організації, та розіслали шкідливий макрос у Word-документі.

Це призвело до встановлення на уражених комп’ютерах шкідливих програм Hatvibe та Cherryspy, що дало змогу хакерам отримати несанкціонований доступ до цих комп’ютерів.

У процесі дослідження виявлено, що атаки з використанням схожих засобів також могли відбуватися проти Міністерства оборони Республіки Вірменія.

CERT-UA закликає керівників організацій та системних адміністраторів не нехтувати рекомендаціями з кібербезпеки, а саме: налаштування двофакторної автентифікації для облікових записів електронної пошти; чітке розмежування рівнів доступу; імплементація політик для блокування можливості запуску макросів, mshta.exe, а також інших програм (зокрема інтерпретатора Python).