SideCopy расширила фишинговые атаки на академические учреждения Индии
Группировка, прежде нацеленная главным образом на индийские госструктуры и оборонный сектор, рассылает письма с вредоносными архивами. Цель кампании — установить троян удалённого доступа ReverseRAT.
Группировка SideCopy расширила фишинговую кампанию против Индии на академические учреждения, сообщили исследователи Trellix. Ранее её активность преимущественно связывали с атаками на индийских чиновников и оборонные силы.
В новой цепочке атаки жертве отправляют ZIP-архив с вредоносным ярлыком Windows. Файл называется commskll.docx.lnk и снабжён значком PDF, чтобы выглядеть как обычный документ. После запуска ярлык загружает с удалённого сервера обфусцированное HTA-приложение и запускает его штатной утилитой Windows mshta.exe.
Далее загрузчик разворачивает несколько компонентов, в том числе приманку в виде документа и очередной этап вредоносного кода. По данным Trellix, основной полезный код расшифровывается непосредственно в памяти: это должно затруднить обнаружение средствами, анализирующими файлы на диске. После инициализации следующего этапа HTA-файл удаляется.
Финальная нагрузка — троян удалённого доступа ReverseRAT, который SideCopy использует как минимум с начала 2021 года. Он способен собирать сведения о системе и установленном ПО, делать снимки экрана, похищать пароли и содержимое буфера обмена, выполнять команды, работать с файлами, загружать данные на сервер злоумышленников и закрепляться в системе через реестр Windows.
Управляющий трафик ReverseRAT шифруется с применением встроенного криптографического ключа. Собранные данные, как установили исследователи, отправляются через порт 5863 на домен dns.educationportals[.]biz, связанный с IP-адресом 45.61.157[.]22.
SideCopy активна как минимум с 2019 года; её также называют TAG-140. По оценке Trellix, перенос фокуса на образовательные организации говорит о расширении круга приоритетных целей группы.