С весны 2023 года мы в отделе исследования киберугроз активно наблюдаем за одной любопытной группировкой — PhaseShifters. Мы решили назвать ее так, потому что она меняет свои техники вслед за другим группировками, например UAC-0050 и TA558. А phase shift (в переводе с англ. — «сдвиг фазы»), как известно, — разность между начальными фазами двух величин, изменяющихся во времени периодически с одинаковой частотой.

В своих атаках PhaseShifters не отличаются оригинальностью: используют фишинг от имени официальных лиц с просьбой ознакомиться с документами и их подписать. А эти документы, в свою очередь, защищены паролем и (что предсказуемо) заражены.

В качестве ВПО злоумышленники используют Rhadamanthys, DarkTrack RAT, Meta Stealer — часть этих инструментов мы заметили у UAC-0050. А использованные криптеры были те же, что и у группировок TA558 и Blind Eagle.

Подробнее о том, кто у кого списал, читайте под катом, а полный текст исследования можно найти в нашем блоге на сайте. 

С чего все начиналось

В конце июня 2024 года мы обнаружили архив с названием Копия трудовой.docx.rar. Он распространялся в качестве вложения в письмах различным компаниям на территории России. Архив был защищен паролем, который, предположительно, можно было найти в теле письма. 

Файл из архива (Копия трудовой.docx.exe) выгружал в систему несколько файлов, один из которых был с провокационным названием putin_***.exe, а также документ-приманку в виде фото паспорта гражданина Республики Беларусь.

Файл с провокационным названием запускал PowerShell-скрипты, которые получали картинки с загрузчиком ВПО и полезную нагрузку последней стадии из репозиториев Bitbucket.

По первой ссылке (bitbucket[.]org/hgdfhdfgd/test/downloads/new_image[.]jpg?14441723) можно было найти репозиторий с файлами и картинками со стеганографией.

На картинках была пустыня Атакама в Чили.

Второй Bitbucket-репозиторий (bitbucket[.]org/fasf24124/fdgfytrj/downloads) до сих пор функционирует и хранит 46 файлов с разными названиями, но с одинаковым содержанием.

Репозиторий создан 4 марта 2024 года пользователем с никнеймом siniy34240. 

В цепочке атак использовался болгарский С2-сервер, который связан с другими подобными атаками и такими файлами, как:

• ru***.exe

• ***pen**.exe

• vvp_***.exe

Последняя полезная нагрузка в цепочке атаки — троян удаленного доступа DarkTrack RAT, который использовался группировкой в атаках 2023 и 2024 годов. 

Помимо DarkTrack RAT, в репозиториях находились такие семейства ВПО, как AsyncRAT, RedLine, Remcos, njRAT, XWorm и другие. Такой набор троянов и стилеров использовался и другими группировками, а именно: TA558 и Blind Eagle. 

Количество скачиваний у некоторых образцов ВПО превышает 46 000 раз. Такое массовое использование файлов указывает скорее на распространение вредоносов через специализированные сервисы, нежели на активность традиционных APT-группировок.

Один криптер на всех

При поиске схожих элементов в PowerShell-скриптах, а также в BAT- и VBS-файлах мы выделили несколько особенностей обфускации:

• Использование обфускации с применением функций SET, GOTO (BAT-файлы) и Call (VBS-файлы).

• Переменная $codigo («код» с португальского или испанского языков) в PowerShell-скрипте, получаемом после деобфускации.

• В последнем PowerShell-скрипте происходило скачивание полезной нагрузки в виде текстового файла, внутри которого находится закодированный в Base64 файл с ВПО. 

Проанализировав эти особенности скриптов, мы увидели пересечение с атаками группировки TA558, про которую мы рассказывали в апреле. Кроме того,  мы нашли сходство c деятельностью группировки Blind Eagle, описанной компанией eSentire. В отчете они рассказали про использование криптеров и обфускаторов, которые распространяются на теневых форумах в связке с загрузчиком Ande Loader. Его-то мы и встретили у PhaseShifters.

Понять, что PhaseShifters использовала тот же криптер, что и TA558, также помогли картинки с репозиториев создателей обфусткаторов — они были одинаковыми.

На этом сходства PhaseShifters с другими APT-группировками не заканчиваются :)

Не Bitbuket-ом единым: пересечения с UAC-0050

UAC-0050 — хакерская группировка, атакующая государственные организации на территории Украины с 2020–2021 годов, а также компании из Польши, Беларуси, Молдовы, стран Балтии и России. 

Ранее мы сказали, что ход атак группировок PhaseShifters и UAC-0050 (отправка фишингового письма и заражение через документ-приманку или архив с паролем) был подозрительно похож. 

Более того, в 2023 году UAC-0050 использовала Remote Utilities для атаки на польские и украинские организации, а в январе 2024 года группировка начала маскировать это приложение под легитимный CCleaner. В этой же атаке группировка тоже использовала Bitbucket, но уже для хранения архива. 

Точно так же, как UAC-0050, PhaseShifters использовала ВПО, замаскированное под установщик утилиты CCleaner, в своих атаках на компании из Беларуси! Сам файл был SFX-архивом с обфусцированными AutoIt-скриптами. 

Обе группировки использовали AutoIt-скрипты на протяжении примерно полугода, и обе одновременно прекратили их использовать. Интересная особенность этих скриптов заключалась в том, что только три группировки замечены за использованием AutoIt-загрузчика, а именно: PhaseShifters, UAC-0050 и пропалестинская группировка Handala. 

Первые атаковали польские организации: PhaseShifters делала это в феврале 2024 года, а UAC-0050 атаковала Польшу в ноябре — декабре 2023 года. Основываясь на сходстве используемых техник фишинга, а также на абсолютно идентичной маскировке ВПО, мы сделали предположение о взаимосвязи этих двух группировок. 

Еще больше подозрительно точных сходств

Рассмотрим граф взаимосвязей, который нам удалось создать на основе обнаруженных атак. На схеме белым цветом отображено использование группировкой UAC-0050 некоторых репозиториев из общего списка, желтым — аналогичные связи только со стороны группировки PhaseShifters. Зеленым цветом в представлении графа показан анализ цепочки атаки, а фиолетовым — дополнительная информация. 

Как видно из графа, некоторые репозитории используются обеими группировками. И если взаимодействие с картинкой еще можно объяснить покупкой одного и того же криптера, о котором говорилось ранее, то использование одного и того же репозитория с полезной нагрузкой объяснить сложнее. Дело в том, что репозиторий с вредоносным ВПО указывается пользователем в обфускаторах как ссылка на полезную нагрузку. Получается, что обе группировки вручную указали эти ссылки.

А теперь рассмотрим другие атаки группировок PhaseShifters и UAC-0050, в которых также использовался один репозиторий: bitbucket[.]org/sdgw/sdge/downloads/ (более недействителен).

Со стороны группировки UAC-0050 такой репозиторий использовался в цепочке атаки с файлом Копія з позначкою банку.vbs, загружая в качестве полезной нагрузки файл bitbucket.org/sdgw/sdge/downloads/meduza[.]txt, после декодирования Base64 становящийся стилером Meduza. 

Группировка PhaseShifters использовала этот репозиторий в цепочке атаки с файлом Проект распоряжения правительства Курской области.pdf.zip. Полезная нагрузка скачивалась по ссылке bitbucket[.]org/sdgw/sdge/downloads/mbFgnhd[.]txt, что является DarkTrack RAT — характерным для них ВПО.

Таким образом, в одном репозитории находились и стилер Meduza, использование которого запрещено правилами теневого форума для атак на российские организации и российских пользователей в целом, и DarkTrack RAT, который был обнаружен в атаках на территории России. Позже, 15 октября 2024 года, вышла новость с упоминанием этих репозиториев. Странная получается ситуация.

Все точки над i

Мы убедились, что PhaseShifters копирует технику UAC-0050. Кроме того,  мы уже в который раз наблюдаем, что это копирование начинается с небольшим промежутком в несколько недель. 

Может, PhaseShifters — просто искусные подражатели, а может, PhaseShifters и UAC-0050 — это одна и та же группировка, атакующая как Россию, так и Украину. Мы склоняемся ко второму варианту, но не можем утверждать наверняка.

Александр Бадаев

Специалист группы киберразведки Positive Technologies

Климентий Галкин

Специалист группы киберразведки Positive Technologies