Військових атакують в Signal шкідливими повідомленнями на тему рекрутингу

Фахівці компанії Trend Micro, що займається розробкою програмного забезпечення у сфері комп'ютерної безпеки, виявила підозрілі файли, більшість з яких стосувалася тематики війни. На основі отриманої інформації «Урядова команда реагування на комп’ютерні надзвичайні події України» (CERT-UA), що функціонує в складі «Держспецзв’язку», дослідила серію кібератак проти військовослужбовців ЗСУ, які проводяться під виглядом рекрутингу до «Третьої окремої штурмової бригади» та «Армії оборони Ізраїлю» (ЦАХАЛ).

З'ясовано, що не пізніше листопада 2023 року невстановлені особи засобами служби миттєвих повідомлень Signal почали розповсюджувати архіви, що містять LNK-файли, запуск яких ініціює ланцюг ураження шкідливими програмами Remcosrat та Reversessh. Це своєю чергою створює для зловмисників технічні умови несанкціонованого віддаленого доступу до інфікованих пристроїв.

Як правило, згадані файли-ярлики містять обфусковану команду для завантаження і запуску за допомогою mshta.exe HTA-файлу, в якому знаходиться обфускований програмний код. Своєю чергою VBScript-код здійснить запуск PowerShell-команди, що призначена для розшифрування (AES-128-ECB), декомпресії (GZIP) та запуску PowerShell-сценарію. Останній забезпечить завантаження і запуск шкідливої програми, а також документ-приманку (PDF або DOCX). При цьому, назви та вміст таких документів є також дуже релевантними для військових: «опитування полоненого», «геолокації», «команди кодування», «позивні» тощо.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365