گروه UAC-0247 کلینیک‌ها و نهادهای دولتی اوکراین را در یک کمپین بدافزاری سرقت داده هدف قرار داد

تیم واکنش اضطراری رایانه‌ای اوکراین (CERT-UA) جزئیات یک کمپین سایبری جدید را فاش کرده که بین مارس تا آوریل ۲۰۲۶ نهادهای دولتی و مراکز درمانی شهری، از جمله کلینیک‌ها و بیمارستان‌های اورژانسی را هدف قرار داده است. این کمپین که به گروه تهدید «UAC-0247» نسبت داده شده، از طریق ایمیل‌های جعلی با موضوع کمک‌های بشردوستانه آغاز می‌شود و قربانیان را به کلیک روی پیوندهایی ترغیب می‌کند که به وب‌سایت‌های آلوده یا سایت‌های ساخته‌شده با هوش مصنوعی (AI) هدایت می‌کنند. هدف نهایی، اجرای فایل‌های مخرب از جمله یک فایل میانبر ویندوز (LNK) است که زنجیره‌ای از بدافزارها را مستقر می‌سازد.

بدافزارهای مستقرشده شامل «RAVENSHELL» برای ایجاد اتصال معکوس TCP، «AGINGFLY» نوشته‌شده با C# برای کنترل از راه دور سیستم‌ها از طریق پروتکل WebSocket، و اسکریپت پاورشل «SILENTLOOP» هستند که آدرس سرور فرمان‌دهی (C2) را از کانال تلگرام دریافت می‌کند. این حملات با بهره‌گیری از ابزارهای متن‌باز نظیر ChromElevator برای سرقت کوکی‌ها و رمزهای عبور مرورگرهای مبتنی بر Chromium، و ZAPiXDESK برای استخراج داده‌های واتس‌اپ، به سرقت اطلاعات حساس، حرکت جانبی (lateral movement) در شبکه و شناسایی منجر می‌شوند. CERT-UA همچنین شواهدی از هدف قرار گرفتن نیروهای دفاعی اوکراین از طریق توزیع آرشیوهای مخرب ZIP در پیام‌رسان سیگنال یافته است.