APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

APT37 использовала встречу представителей КНДР и Донбасса как приманку

В Fortinet проанализировали недавнюю имейл-атаку, в ходе которой на машины Windows загружался RAT-инструмент Konni. Вредоносные сообщения были написаны на русском языке и имитировали переписку между российскими дипломатами.

Инструмент удаленного администрирования Konni зачастую использует APT37, она же Ricochet Chollima, InkySquid, ScarCruft, Reaper и Group123. Для его засева северокорейские хакеры и ранее использовали спам-рассылки и похожую схему доставки, поэтому аналитики с большой долей уверенности приписали новую атаку этой APT-группе.

Вредоносные письма незамысловаты и призваны создать видимость официальной переписки. С этой целью злоумышленники сфальсифицировали адрес отправителя и использовали форму ответа на некое предыдущее послание.

 

Примечательно, что вложение поименовано с использованием латиницы. Анализ показал, что zip-архив содержит два файла — Pyongyang in talks with Moscow on access to Donbass.pptx и Donbass.ppam.

Первый служит ширмой: в набор слайдов включены сообщения о встрече высокопоставленных представителей КНДР, ДНР и ЛНР, которая состоялась в прошлом месяце в Москве. Все новости взяты из открытых англоязычных источников, два слайда содержат только текст на русском языке. Все ссылки в этих новостях ведут на легитимные сайты; подозрительного контента в pptx-файле не обнаружено.

Вредоносным оказался Donbass.ppam (файл плагина Microsoft PowerPoint). При его открытии запускается макрос, который прежде всего выводит диалоговое окно с сообщением об ошибке:

 

Используя приглашение командной строки, вредонос помещает большой фрагмент шифротекста (base64) в файл oup.dat и сохраняет его в папке %TMP%. Расшифровка осуществляется с помощью Certutil, итог записывается в файл oup.vbs, с сохранением в %LOCALAPPDATA%\Microsoft\Office.

Скрипт VBS выполняет две задачи: создает запланированное задание Office Updatev2.2, чтобы обеспечить свой запуск каждые пять минут, и выполняет PowerShell-команду на сбор и отправку системных данных в домен gg1593[.]c1[.]biz. Командный сервер злоумышленников, расположенный в Болгарии, уже недоступен, поэтому добыть образец Konni для анализа специалистам не удалось.

В Магнитогорске арестовали руководителя центра Э за черный пробив

Ленинский районный суд Магнитогорска арестовал ранее задержанного начальника межрайонного отделения по противодействию экстремизму Центра по противодействию экстремизму (ЦПЭ) ГУ МВД России по Челябинской области — подполковника полиции Илью Афонасенко.

О задержании Афонасенко сообщило территориальное подразделение Следственного комитета. Ему предъявлено обвинение по ч. 3 ст. 286 УК РФ (превышение должностных полномочий).

«По версии следствия, в период с марта по апрель 2025 года подозреваемый, являясь должностным лицом и действуя из корыстной заинтересованности, выраженной в получении денежных средств, на систематической основе незаконно получал доступ к интегрированному банку данных МВД. Там он собирал персональные данные на физическое лицо и впоследствии передавал их своему знакомому», — сообщили в Следственном комитете.

Преступление было выявлено в результате совместной работы УФСБ по Челябинской области и ОЧР СБ регионального ГУ МВД России. По месту жительства и службы подозреваемого проведены обыски. По ходатайству следствия Ленинский районный суд Магнитогорска избрал ему меру пресечения в виде заключения под стражу.

В марте 2025 года за аналогичные преступления был осужден на 6,5 года лишения свободы бывший начальник ОМВД по Басманному району Москвы Сергей Андреев. Помимо превышения должностных полномочий, ему также вменили разглашение сведений, составляющих банковскую и налоговую тайну.

RSS: Новости на портале Anti-Malware.ru