Исследователи кибербезопасности из ИБ-компании Mandiant обнаружили , что операторы Gootkit, внесли “заметные изменения” в свой набор инструментов, добавив новые компоненты и средства обфускации в свои цепочки заражения. Mandiant отслеживает кластер угроз под псевдонимом UNC2565.
Gootkit (Gootloader) распространяется через скомпрометированные веб-сайты, на которые жертвы попадают при поиске деловых документов (соглашения, контракты и т.д.) с помощью метода отравления SEO (SEO poisoning).
Документы выдают себя за ZIP-архивы, содержащие вредоносный код JavaScript, который при запуске открывает путь для дополнительных полезных нагрузок – Cobalt Strike Beacon, FONELAUNCH и SNOWCONE.
- FONELAUNCH – это загрузчик на основе .NET, предназначенный для загрузки закодированных полезных нагрузок в память;
- SNOWCONE – это загрузчик, который извлекает полезную нагрузку следующего этапа (обычно IcedID) через HTTP.
Цепочка атак GOOTLOADER.POWERSHELL
В то время как общие цели Gootkit остались неизменными, сама последовательность атак претерпела значительные изменения – теперь файл JavaScript в ZIP-архиве троянизирован и содержит в себе обфусцированный код JavaScript, который и выполняет вредоносное ПО.
Новый вариант, обнаруженный в ноябре 2022 года, отслеживается как GOOTLOADER.POWERSHELL. Стоит отметить, что обновленная цепочка заражения также была задокументирована Trend Micro ранее в этом месяце в ходе атак Gootkit на сектор здравоохранения Австралии.
Более того, авторы вредоносного ПО использовали метод избегания обнаружения, используя сокрытие кода в измененных версиях легитимных библиотек JavaScript – jQuery, Chroma.js и Underscore.js.
3 разных варианта Gootkit – FONELAUNCH (FONELAUNCH.FAX), FONELAUNCH.PHONE и FONELAUNCH.DIALTONE – используются UNC2565 с мая 2021 года для выполнения DLL-библиотек, двоичных NET-файлов и PE-файлов, что указывает на то, что арсенал вредоносных программ постоянно поддерживается и обновляется. Эти изменения свидетельствуют об активном развитии и росте возможностей UNC2565.