Шпионская группа, которая уже не первый год держит под прицелом МИДы, водные министерства и энергетику девяти стран СНГ, подписала собственные импланты именем разработчика. В .NET-метаданных каждого билда реверс-шелла, который Cisco Talos и Recorded Future теперь ведут как PickleShell, лежит путь сборки C:\Users\pickl\source\repos\C#SSLrevshelll\... – с тройной l в имени проекта, опечаткой, переехавшей без единой правки из сборки в сборку. Это не утечка и не чужой эксплойт. Это оператор, который ни разу не собрал релиз без отладочных путей, оставил три staging-сервера открытыми на листинг и вёл разработку боевого тулинга в публичном репозитории GitHub с 77 датированными коммитами.
Группу под именами Silent Lynx (Seqrite), UAT-6275 (Talos) и TAG-193 (Recorded Future) вскрыла не контратака и не чья-то ошибка на той стороне, а её собственная инфраструктура. Всё, что известно про её killchain – от макроса в Word до эксплойта WinRAR, от ключей XOR до смены командных серверов, – известно ровно потому, что дверь ни разу не заперли. Ниже – разбор группы, которая дотянулась до зрелого, модульного ремесла в нападении и при этом не научилась относиться к своим артефактам как к уликам.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local