CTT Report Hub

#ParsedReport #ChatGPT #Translated Autotext: (TI Report Analyser + ChatGPT + Auto Translate) ------ В мае 2026 года многоуровневая кибератака нацелилась на сектор здравоохранения с использованием сложных методов, включая фишинговое письмо, замаскированное под переписку от Администрации социального обеспечения. Атака включала использование ВПО, такого как AdaptixC2 для управления, XWorm для доступа и эксфильтрации через Телеграм, а также ScreenConnect для интерактивного контроля. Методы включали использование замаскированного исполняемого файла PE32 с помощью RTLO для обхода обнаружения, в сочетании с обширной разведкой среды Active Directory Microsoft для облегчения перемещения внутри компании и стратегий закрепления. ----- В середине мая 2026 года была осуществлена сложная атака с использованием стандартных средств вторжения, реализованная многоуровневым подходом с применением ВПО и ПО для удаленного доступа в среде Microsoft Active Directory в секторе здравоохранения. Процесс атаки начался с тщательно составленного фишингового письма, имитирующего Управление социального обеспечения (SSA), которое содержало ссылку на архив RAR, размещенный на взломанном сайте WordPress. Этот архив содержал исполняемый файл PE32, замаскированный под PDF-документ с использованием трюка с именем файла через символ правого-левого переопределения (RTLO), что позволило ему избежать обнаружения. Атакующий использовал AdaptixC2 в качестве основной инфраструктуры управления (C2), применяя дополнительные инструменты, такие как XWorm для избыточного доступа и Телеграм для эксфильтрации, а также два независимых экземпляра ScreenConnect для интерактивного контроля. Первоначальная компрометация произошла через фишинговое письмо, которое привело к доставке вредоносной DLL (jli.dll), размещенной в публичных документах пользователя. Оператор затем использовал команду Windows certutil для загрузки компонентов AdaptixC2 с указанного URL, что способствовало установлению закрепления и запуску дополнительных полезной нагрузки. В ходе инцидента было запущено несколько вариантов Staging AdaptixC2, демонстрирующих беконинг на определенные IP-адреса через HTTPS. Использование проверки TLS предоставило информацию о трафике C2, раскрывая реальные URL-адреса и маячки в открытом виде, что способствовало эффективной атрибуции активности. Фаза разведки включала картирование домена с использованием SAMR и LSAD, что позволило злоумышленнику собрать подробную информацию о пользователях домена, группах и доверительных отношениях, что критически важно для перемещения внутри компании. Основной фреймворк C2, AdaptixC2, демонстрировал характерный паттерн беконинга, выражавшийся в специфических HTTP POST-запросах к таким конечным точкам, как /updates/check.php. XWorm, развернутый в виде DLL, предоставлял дополнительные возможности доступа и использовал Bot API Телеграм для эксфильтрации, что указывает на четко определенную оперативную методологию. Тем временем ScreenConnect обеспечивал интерактивный доступ с устойчивостью за счет развертывания на нескольких доменах, усложняя попытки прервать доступ злоумышленников. Учитывая сложность атаки, она отражает адаптивную стратегию вторжения, при которой первоначальный доступ осуществляется с помощью социальной инженерии, а не продвинутых технических эксплойтов. Использование RTLO для маскировки исполняемых файлов остается надежной тактикой для обхода бдительности пользователей, а наличие недетектируемых хешей для полезной нагрузки в VirusTotal подчеркивает необходимость поведенческого обнаружения и сетевого мониторинга вместо опоры на традиционные отпечатки файловых хешей. Этот случай подчеркивает важность тщательного мониторинга легитимных инструментов, используемых в рамках злонамеренных кампаний, особенно в отношении утилит сертификатов, механизмов закрепления и поведения C2, связанного с известными семействами ВПО.