Az alábbiakban olvasható biztonsági figyelmeztetés a Nemzeti Kiberbiztonsági Intézet weboldalának preventív tájékoztatóját tartalmazza.

A Gamaredon új eszközökkel bővítette Ukrajna elleni kampányait

A Gamaredon új eszközökkel bővítette Ukrajna elleni kampányait

szerda 07:05

Az orosz Gamaredon APT csoport tavaly tovább bővítette kártevőeszköztárát az Ukrajna elleni kibertámadási kampányai során. A szlovák ESET kiberbiztonsági vállalat jelentése szerint a csoport 2025-ben 35 különálló spear-phishing kampányt indított, amelyek többsége az év második felére koncentrálódott. A célpontok jellemzően ukrán kormányzati és katonai szervezetek voltak. Az ESET szerint a csoport továbbra is kizárólag Ukrajnára fókuszál, célja pedig érzékeny információk megszerzése.

A spear-phishing kampányok archívumokat vagy XHTML fájlokat használnak, amelyek HTML smuggling technikával juttatnak rosszindulatú HTA-alapú letöltőket a célrendszerekre. Ezek további payloadokat töltöttek le, például a PteroSand nevű kártevőt. Egyes esetekben a WinRAR egy korábban javított sérülékenységét (CVE-2025-8088) is kihasználták perzisztencia kiépítésére a Windows Startup mappáján keresztül.

A Gamaredon eszköztára több modult is tartalmaz, köztük a PteroLNK-t és a PteroPaste-et, amelyek USB- és hálózati meghajtók fertőzésével segítik a laterális terjedést. A rosszindulatú LNK fájlok megnyitása további letöltő komponensek aktiválását váltja ki. A csoport továbbra is használja a PteroSetup nevű VBScript-alapú eszközt, amely legitim telepítőfájlokat keres, majd azokat 7z önkicsomagoló archívumokra cseréli, amelyek a legitim bináris mellett egy kártékony szkriptet is tartalmaznak. 2025-ben hat új PowerShell-alapú eszköz jelent meg a Gamaredon eszköztárában, amelyek memóriaalapú végrehajtást és felhőszolgáltatásokkal való visszaélést kombinálnak.

Az ESET szerint a csoport 2025 elején rövid operatív szünetet tartott, majd az év első felében intenzív fejlesztési ciklusba kezdett, új eszközök és frissített kampányok bevezetésével. A Gamaredon egyre nagyobb mértékben támaszkodik legitim online szolgáltatásokra C2-kommunikáció, adatkinyerés és infrastruktúra-elrejtés céljából. A használt platformok között szerepel többek között a Telegra.ph, Dropbox, GoFile, Mastodon, és a Write.as is. Ezeket a szolgáltatásokat a csoport „dead drop” mechanizmusként és átmeneti adatátviteli csatornaként használja.

Az ESET szerint a Gamaredon továbbra is viszonylag egyszerű malwareket alkalmaz, azonban azokat gyakori frissítésekkel és egyre kifinomultabb legitim szolgáltatásokat kihasználó technikákkal kombinálja.

(thehackernews.com)

Címkék

C2 Gamaredon Gamaredon APT HTML LNK Powershell Spear phishing VBS WinRAR Windows adathalász kampány phishing kampány

APT Malware sérülékenység

Kapcsolódó tartalmak:

Forrás: NKI