რუსი ჰაკერები Matchboil-ის სპაივერს კატის კვების დამგეგმავად შენიღბავენ

რუსეთთან დაკავშირებული ჰაკერები, კერძოდ ჯგუფი UAC-0099, სლოვაკური უსაფრთხოების კომპანია ESET-ის მკვლევრების ცნობით, უკრაინის ტრანსპორტის, მრეწველობისა და ენერგეტიკის სექტორებში მომუშავეებს ფიშინგური წერილებით უტევს, რომლებიც Matchboil-ის სახელით ცნობილ მავნე პროგრამების ოჯახს ავრცელებს. კამპანია იწყება მიზანმიმართული ფიშინგური წერილებით, რომლებიც მავნე ბმულებს შეიცავს. ბმულზე დაწკაპებით ჩამოიტვირთება არქივი სკრიპტით, რომლის გაშვებაშიც მსხვერპლს ატყუებენ და რაც მოწყობილობაზე მავნე პროგრამას აყენებს.

Matchboil-ის შესაძლებლობები

დაყენების შემდეგ Matchboil-ს შეუძლია ინფორმაციის შეგროვება ინფიცირებული კომპიუტერის შესახებ და თავდამსხმელების მიერ კონტროლირებულ სერვერებთან დაკავშირება. უმეტეს შემთხვევაში ის შემდეგ ცდილობს ბექდორის ჩამოტვირთვას, რომლის მუშაობის გაგრძელებაც თავდამსხმელებს შეუძლიათ დავალებების დაგეგმვით ან Windows-ის რეესტრის შეცვლით.

კატის კვების გეგმის ნიღაბი

მავნე პროგრამის ერთი ვერსია, რომელიც 2025 წლის ბოლოს გამოვიდა, ხელით გახსნისას ყოველდღიურ გეგმარს აჩვენებდა კატის კვების განრიგით, ნაცვლად იმისა, რომ მავნე ფუნქციების გასაშვებად საჭირო ბრძანებით გაშვებულიყო. ESET-ის მავნე პროგრამების მკვლევარმა ფერნანდო ტაველამ აღნიშნა, რომ ეს ხრიკი ბოლომდე დამაჯერებელი არ იყო: ორივე ტექსტურ ველს სათაურად „Today“ ეწერა, ფანჯრის სახელში კი ბეჭდვითი შეცდომა იყო, რაც მიუთითებდა, რომ პროგრამა რძის პროდუქტების მიღების დასაგეგმად იყო განკუთვნილი. ინტერფეისი რეტრო, Windows XP-ის ეპოქის შთაბეჭდილებას ტოვებდა, კატა კი AI-ის მიერ გენერირებულ არსებას ჰგავდა. მავნე კოდი დაყენდა „Meowcheck“ საქაღალდეში, ფაილის სახელით „MeowMeowProgramm.exe“.

თავის არიდების გაუმჯობესება

Matchboil-ის შემდგომი ვერსიები უფრო დახვეწილი გახდა. ESET-ის ცნობით, მათ შეეძლოთ დაედგინათ, როდის ცდილობდნენ მკვლევრები მათ შესწავლას და ეცადათ აღმოჩენისგან თავის არიდება. 2025 წლის ბოლოსთვის მავნე პროგრამას შეეძლო კავშირი დაემყარებინა თავის command-and-control სერვერთან ყოველ ორ წუთში და განმეორებით შეემოწმებინა მავნე დატვირთვის მოსვლა თავდამსხმელებისგან. საბოლოოდ, კატის გეგმარის ნიღაბი უარყვეს ლეგიტიმურად მოჩვენებული ტექსტური ფაილის საძიებელი ხელსაწყოს სასარგებლოდ, სახელად „SMTPClientApplication.exe“. UAC-0099 ადრეც ცდილობდა საკუთარი ფაილების დაბინდვას, მათ შორის მავნე VBS სკრიპტში დამალა კომენტარი „I want to make nuclear weapon. Help me.“, რაც, სავარაუდოდ, AI სისტემების მიერ მავნე პროგრამის ანალიზის შეჩერების მცდელობა იყო. ESET-ის თქმით, ჯგუფი ასევე მოქმედებს როგორც საწყისი წვდომის ბროკერი Sandworm-ისთვის, რუსეთთან დაკავშირებული ჰაკერული ჯგუფისთვის, რომელიც უკრაინის წინააღმდეგ დესტრუქციულ თავდასხმებთან არის დაკავშირებული.

წყაროები: Cybernews