Admin
Администратор
Группировка Velvet Tempest, известная своими громкими атаками с программами-вымогателями, снова привлекла внимание специалистов.
Злоумышленники используют простые методы, такие как встроенные средства Windows и набор вредоносных компонентов, для развёртывания вредоносного ПО.
Компания MalBeacon отслеживала действия атакующих в эмулированной среде, повторяющей инфраструктуру крупной некоммерческой организации из США. Начальный доступ злоумышленники получили через malvertising-кампанию, предлагая жертве вставить запутанную команду в окно «Выполнить» Windows. После запуска начиналась цепочка команд cmd.exe, а для загрузки первых компонентов использовалась утилита finger.exe. Один из файлов маскировали под PDF-документ, хотя внутри находился архив. После проникновения операторы Velvet Tempest вручную изучали среду, собирали сведения об Active Directory и крали сохранённые в Chrome учётные данные с помощью PowerShell-скрипта. В финале цепочки в систему попадал DonutLoader, после чего загружался бэкдор CastleRAT. MalBeacon подчёркивает, что в зафиксированном вторжении шифровальщик Termite в итоге не запустили, хотя инфраструктура и отдельные инструменты указывали на связь с подобными операциями.
