Търсене
Close this search box.

Източноевропейските петролни и газови компании се сблъскват с MATA Framework

Актуализирана версия на усъвършенстваната MATA Framework със задна врата, е използвана при атаки, насочени към над дузина източноевропейски компании в петролния и газовия сектор и отбранителната индустрия, като част от операция за кибершпионаж, проведена между август 2022 г. и май 2023 г.

„Хакерите, стоящи зад атаката, са използвали spear-phishing имейли, за да се насочат към няколко жертви, като някои от тях са били заразени с изпълним зловреден софтуер за Windows чрез изтегляне на файлове през интернет браузър“, заявиха от  Kaspersky  в нов изчерпателен доклад, публикуван тази седмица.

„Всеки фишинг документ съдържа външна връзка за извличане на отдалечена страница, съдържаща експлойт CVE-2021-26411.“

CVE-2021-26411 (CVSS оценка: 8.8) се отнася до уязвимост в Internet Explorer, която може да бъде задействана, за да се изпълни произволен код, като жертвата бъде подмамена да посети специално създаден сайт. Преди това тя е била използвана от Lazarus Group в началото на 2021 г. с цел насочване към изследователи в областта на сигурността.

Крос-платформената рамка MATA е документирана за първи път от руската компания за киберсигурност през юли 2020 г., свързвайки я с плодотворната севернокорейска държавно спонсорирана група в атаки, насочени към различни сектори в Полша, Германия, Турция, Корея, Япония и Индия от април 2018 г. насам.

Използването на обновена версия на MATA за нанасяне на удари по изпълнители на отбранителни дейности беше разкрито по-рано от Kaspersky през юли 2023 г., въпреки че приписването на Lazarus  остава в най-добрия случай слабо поради наличието на техники, използвани от APT  Five Eyes, като Purple Lambert, Magenta Lambert и Green Lambert.

MATA Framework

Въпреки това в повечето от зловредните документи на Microsoft Word, създадени от нападателите, е използван корейски шрифт, наречен Malgun Gothic, което предполага, че разработчикът е запознат с корейския език или работи в корейска среда.

Руската компания за киберсигурност Positive Technologies, която сподели подробности за същата рамка в края на миналия месец, проследява операторите под псевдонима Dark River.

„Основният инструмент на групата, бекдорът MataDoor, има модулна архитектура, със сложна, старателно разработена система за мрежови преноси и гъвкави възможности за комуникация между оператора на бекдора и заразената машина“, казват изследователите по сигурността Денис Кувшинов и Максим Андреев.

„Анализът на кода показва, че разработчиците са инвестирали значителни ресурси в инструмента.“

Последните вериги от атаки започват с изпращане от страна на извършителя на spear-phishing документи до целите, като в някои случаи той се представя за легитимни служители, което показва предварително разузнаване и задълбочена подготовка. Тези документи включват връзка към HTML страница, в която е вграден експлойт за CVE-2021-26411.

Успешното компрометиране води до изпълнение на зареждащ модул, който на свой ред извлича модул Validator от отдалечен сървър, за да изпраща системна информация и да изтегля и качва файлове към и от сървъра за управление и контрол (C2).

Модулът Validator също така е проектиран да извлича MataDoor, който според Kasperksy е MATA от четвърто поколение, който е оборудван за изпълнение на широк набор от команди, способни да събират чувствителна информация от компрометирани системи.

Атаките се характеризират още с използването на зловреден софтуер за кражба на съдържание от клипборда, записване на натискания на клавиши, правене на скрийншоти и изсмукване на пароли и бисквитки от Windows Credential Manager и Internet Explorer.

Друг заслужаващ внимание инструмент е USB модул за разпространение, който позволява изпращане на команди към заразената система чрез сменяем носител, което вероятно позволява на членовете на  заплахата да проникнат в мрежи с въздушна охрана. Използван е и експлойт, наречен CallbackHell, за повишаване на привилегиите и заобикаляне на продуктите за защита на крайни точки, така че да постигнат целите си, без да привличат внимание.

Kaspersky съобщи, че е открил и нов вариант на MATA, наречен MATA generation 5 или MATAv5, който е „напълно пренаписан от нулата“ и „демонстрира усъвършенствана и сложна архитектура, използваща зареждащи се и вградени модули и плъгини“.

„Зловредният софтуер използва вътрешно каналите за междупроцесна комуникация (IPC) и използва разнообразен набор от команди, което му позволява да създава прокси вериги в различни протоколи – също и в средата на жертвата“, добави компанията.

Като цяло рамката MATA и нейният коктейл от плъгини включват поддръжка за над 100 команди, свързани със събиране на информация, наблюдение на събития, управление на процеси, управление на файлове, разузнаване на мрежи и прокси функционалност.

„Акторът демонстрира високи възможности за навигация и използване на решения за сигурност, внедрени в средата на жертвата“, заявиха от Kaspersky.

„Атакуващите използваха много техники за прикриване на дейността си: руткитове и уязвими драйвери, маскиране на файлове като легитимни приложения, използване на портове, отворени за комуникация между приложения, многостепенно криптиране на файловете и мрежовата активност на зловредния софтуер, [и] задаване на дълго време за изчакване между връзките с контролните сървъри.“

 

Източник: The Hacker News

Подобни публикации

16 април 2024

CISA издаде извънредна директива

На 11 април Агенцията за киберсигурност и инфраструктурна сигурност...
15 април 2024

CP3O е арестуван

Министерството на правосъдието на САЩ обяви ареста и повдигането на...
15 април 2024

Daixin Team ransomware е атакувала успешно Omni...

Бандата Daixin Team ransomware е извършила неотдавнашна кибератака ...
15 април 2024

За проблемите с работната сила в сферата киберс...

  За проблемите с работната сила в сферата киберсигурността в ...
15 април 2024

КНДР се възползва от 2 подтехники: Призрачно от...

Този месец MITRE ще добави две подтехники към своята база данни ATT...
15 април 2024

Хакер твърди, че е пробил Giant Tiger и пусна 2...

Канадската верига за търговия на дребно Giant Tiger разкрива наруше...
14 април 2024

MuddyWater приемат нов C2 инструмент "DarkBeatC...

Иранският участник в заплахите, известен като MuddyWater, е причисл...
14 април 2024

Критичен недостатък на Palo Alto Networks PAN-O...

Palo Alto Networks предупреждава, че критичен недостатък, засягащ с...
Бъдете социални
Още по темата
16/04/2024

CISA издаде извънредна дире...

На 11 април Агенцията за киберсигурност...
15/04/2024

КНДР се възползва от 2 подт...

Този месец MITRE ще добави две...
14/04/2024

MuddyWater приемат нов C2 и...

Иранският участник в заплахите, известен като...
Последно добавени
16/04/2024

CISA издаде извънредна дире...

На 11 април Агенцията за киберсигурност...
15/04/2024

CP3O е арестуван

Министерството на правосъдието на САЩ обяви...
15/04/2024

Daixin Team ransomware е ат...

Бандата Daixin Team ransomware е извършила...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!