Бесплатно Экспресс-аудит сайта:

10.02.2023

Группировка Nodaria использует новый инфостилер в атаках на госучреждения Украины

Специалисты из ИБ-компании Symantec обнаружили, что группировка Nodaria использует новое вредоносное ПО для кражи данных в атаках на госучреждения Украины. Исследователи безопасности Symantec назвали вредоносное ПО Graphiron.

Согласно отчёту Symantec, вредоносное ПО написано на Golang и предназначено для сбора широкого спектра информации с зараженного компьютера, включая системную информацию, учетные данные, снимки экрана и файлы.

Graphiron представляет собой улучшенную версию бэкдора группы GraphSteel, в которой есть функции для запуска команд оболочки и сбора системной информации, файлов, учетных данных, снимков экрана и SSH-ключей. Самые ранние свидетельства использования Graphiron относятся к октябрю 2022 года, и он использовался в атаках как минимум до середины января 2023 года.

Кроме того, анализ цепочек заражения показывает наличие двух этапов: загрузчик (1 этап) при выполнении проверяет наличие определённых инструментов анализа вредоносных программ – если они не найдены, то он подключится к C2-серверу, загрузит и расшифрует полезную нагрузку Graphiron (2 этап), а затем добавит ее в автозапуск.

Полезная нагрузка способна выполнять следующие задачи:

  • Извлекает имя хоста, информацию о системе и информацию о пользователе;
  • Крадет данные из Firefox и Thunderbird;
  • Похищает закрытые ключи от MobaXTerm;
  • Похищает известные хосты SSH;
  • Крадет данные из PuTTY;
  • Крадет сохраненные пароли;
  • Делает скриншоты;
  • Создает каталог;
  • Перечисляет каталог;
  • Запускает команду оболочки;
  • Похищает произвольные файлы.

Группа Nodaria отслеживается Группой реагирования на компьютерные чрезвычайные ситуации Украины (CERT-UA) как UAC-0056 и впервые была обнаружена в январе 2022 года. Тогда группировка использовала вредоносное ПО SaintBot и OutSteel в целевых фишинговых атаках, направленных на государственные учреждения Украины.

Группа, которая, по словам экспертов, активна по крайней мере с апреля 2021 года, неоднократно использовала специальные бэкдоры GraphSteel и GrimPlant в различных кампаниях . Отдельные вторжения также повлекли за собой доставку Cobalt Strike Beacon для последующей эксплуатации.