Группа, которую CERT-UA ведёт как UAC-0099, а TrendAI Research отслеживает под именем Earth Sirrush, работает по Украине с середины 2022 года. За четыре года операторы перестроили свой тулкит от и до – PowerShell, Go, скомпилированный C#, .NET Reactor-обфускация, стеганография в PNG – и выкатили больше десяти семейств малвари. Каждая следующая итерация сложнее предыдущей, каждая новая волна ломает сигнатурный детект. Но привычки разработки – один и тот же PKCS#7-файл электронной подписи как социнженерная приманка, один и тот же XOR-шифр с byte-swap на разных seed-ах, одни и те же PDB-пути, одни и те же WMI-запросы вплоть до регистра букв – прошивают все кампании насквозь и сшивают десять семейств в одну операцию. Малварь меняется, почерк остаётся – и именно почерк позволил TrendAI и ESET независимо друг от друга собрать полную картину.
ESET отдельно оценивает, что UAC-0099 работает брокером первичного доступа для Sandworm (APT44) – группы, которую мы разбирали в контексте атак на критическую инфраструктуру Украины. Связка IAB + деструктивный актор – логичная схема: одни добывают плацдарм, другие его сжигают.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local