Взлом систем, использующих программу-вымогатель Termite, связан с атаками ClickFix CastleRAT.

[admin]

Злоумышленники, использующие программы-вымогатели, известные как Velvet Tempest, применяют технику ClickFix и легитимные утилиты Windows для развертывания вредоносного ПО DonutLoader и бэкдора CastleRAT.


Исследователи из компании MalBeacon, специализирующейся на анализе угроз кибербезопасности, наблюдали за действиями хакеров в имитированной организационной среде в течение 12 дней.


Velvet Tempest, также известная как DEV-0504, — это группа хакеров, которая как минимум пять лет участвует в атаках с использованием программ-вымогателей в качестве аффилированного участника.


Данный злоумышленник был замешан в распространении некоторых из самых разрушительных штаммов программ-вымогателей: Ryuk (2018–2020), REvil (2019–2022), Conti (2019–2022), BlackMatter , BlackCat/ALPHV (2021–2024), LockBit и RansomHub .

Хронология развертывания программы-вымогателя Velvet Tempest
Источник: MalBeacon

Атака была зафиксирована компанией MalBeacon в период с 3 по 16 февраля в имитированной среде некоммерческой организации в США, насчитывающей более 3000 конечных устройств и более 2500 пользователей.

Получив доступ, операторы Velvet Tempest выполняли действия с использованием клавиатуры, включая разведку Active Directory, обнаружение хостов и профилирование среды, а также использовали скрипт PowerShell для сбора учетных данных, хранящихся в Chrome.


Скрипт размещался на IP-адресе, который исследователи связали с инструментами для подготовки к атакам вымогательского ПО Termite.


По словам исследователей, Velvet Tempest получил первоначальный доступ через рекламную кампанию, которая привела к созданию комбинации ClickFix и CAPTCHA, предлагавшей жертвам вставить зашифрованную команду в диалоговое окно «Выполнить» Windows.

Приманка ClickFix, используемая Velvet Tempest
Источник: MalBeacon

Вставленная команда запускала вложенные цепочки cmd.exe и использовала finger.exe для загрузки первых загрузчиков вредоносного ПО. Одна из полезных нагрузок представляла собой архивный файл, замаскированный под PDF-файл.

На последующих этапах Velvet Tempest использовал PowerShell для загрузки и выполнения команд, которые загружали дополнительные полезные нагрузки, компилировали компоненты .NET с помощью csc.exe во временных каталогах и развертывали компоненты на основе Python для обеспечения постоянного хранения данных в C:\ProgramData.


В результате операции был установлен DonutLoader и обнаружен бэкдор CastleRAT, троян удаленного доступа, связанный с вредоносной программой CastleLoader, известной распространением множества семейств RAT и программ для кражи информации, таких как LummaStealer .


Ранее программа-вымогатель Termite уже унесла жизни таких известных компаний, как поставщик программного обеспечения как услуги Blue Yonder и австралийский гигант в сфере ЭКО Genea .


Хотя Velvet Tempest обычно ассоциируется с атаками с двойным вымогательством, когда системы жертв шифруются после кражи корпоративных данных, в отчете MalBeacon отмечается, что злоумышленник не использовал программу-вымогатель Termite в ходе наблюдаемого вторжения.


Многие злоумышленники, использующие программы-вымогатели, применяют технику CkickFix в своих атаках. В апреле 2025 года Sekoia сообщила , что группа злоумышленников, использующая программу-вымогатель Interlock, применила метод социальной инженерии для взлома корпоративных сетей.