UAC-0226 با استفاده از فایل‌های مخرب اکسل، بدافزار سارق GIFTEDCROOK را علیه اوکراین مستقر می‌کند

تیم پاسخ اضطراری رایانه‌ای اوکراین (CERT-UA) مجموعه جدیدی از حملات سایبری را علیه نهادهای اوکراینی با استفاده از بدافزار سرقت اطلاعات فاش کرده است. این حملات متوجه تشکیلات نظامی، نهادهای مجری قانون و ارگان‌های خودگردان محلی، به‌ویژه آن‌هایی که در نزدیکی مرز شرقی اوکراین قرار دارند، می‌باشد. مهاجمان از طریق ارسال ایمیل‌های فیشینگ حاوی فایل اکسل با قابلیت ماکرو (XLSM) اقدام به نشر دو نوع بدافزار می‌کنند: یک اسکریپت پاورشل از مخزن گیت‌هاب PSSW100AVB که یک reverse shell ایجاد می‌کند و بدافزار جدیدی به نام GIFTEDCROOK که قابلیت سرقت داده‌های حساس از مرورگرهای وب نظیر کروم، اج و فایرفاکس را دارد.

CERT-UA این فعالیت را به گروه تهدید UAC-0226 نسبت داده، هرچند ارتباط آن با کشور خاصی مشخص نشده است. همزمان، گروه تهدید UNC5837 که احتمالاً با روسیه مرتبط است، در اکتبر ۲۰۲۴ کمپین فیشینگ علیه سازمان‌های دولتی و نظامی اروپایی راه‌اندازی کرده که از فایل‌های RDP امضا شده برای برقراری اتصال پروتکل دسکتاپ راه دور استفاده می‌کند. این حمله که توسط گروه اطلاعات تهدید گوگل (GTIG) گزارش شده، از ابزار متن‌باز PyRDP برای خودکارسازی فعالیت‌های مخرب نظیر سرقت فایل و ضبط کلیپ‌بورد استفاده می‌کند. در ماه‌های اخیر نیز کمپین‌های فیشینگ با استفاده از کپچاهای جعلی و Cloudflare Turnstile برای توزیع Legion Loader مشاهده شده که منجر به نصب افزونه مخرب مرورگر “Save to Google Drive” می‌شود.