Sticky Werewolf шпионит в российском авиапроме

Sticky Werewolf шпионит в российском авиапроме

Sticky Werewolf шпионит в российском авиапроме

В Morphisec зафиксировали новый всплеск активности APT-группы Sticky Werewolf на территории России. Адресные рассылки нацелены на кражу секретов авиационной промышленности и вместо вредоносных ссылок используют вложения.

Поддельные имейл-сообщения написаны от имени заместителя гендиректора ОКБ «Кристалл» — конструкторского бюро, занимающегося разработкой и производством агрегатов для самолетов, в том числе военного назначения.

Приаттаченный архив содержит маскировочный PDF-документ и два файла с двойным расширением .docx.lnk (якобы повестка совещания и список рассылки), указывающие на экзешник на внешнем сервере WebDAV.

 

При активации один LNK отображает фейковое сообщение об ошибке (ошибка при открытии документа, файл поврежден) и создает ключ реестра для запуска WINWORD.exe из сторонней сетевой папки совместного пользования при каждом входе в систему. Второй LNK выполняет команду на запуск WINWORD.exe.

Анализ показал, что этот исполняемый файл представляет собой самораспаковывающийся архив NSIS — вариант хорошо известного упаковщика CypherIT, ранее широко использовавшегося для загрузки зловредов. Содержимое помещается в папку временных файлов $INTERNET_CACHE, затем инсталлятор запускает один из файлов — обфусцированный batch-скрипт.

Этот компонент пытается обезвредить антивирусы (Norton, Sophos, AVG, Webroot): притормаживает процессы, переименовывает файлы. Батник также выполняет конкатенацию, чтобы получить AutoIT-экзешник и соответствующий скрипт.

Последний ищет артефакты, говорящие об использовании эмулятора (BitDefender, Kaspersky, AVG, Microsoft Defender), и закрепляется в системе — создает запланированное задание или прописывается на автозапуск. Подготовив почву, он расшифровывает финальный пейлоад и загружает его в память легитимного AutoIT по методу process hollowing.

В качестве целевой полезной нагрузки может выступать инфостилер Rhadamanthys или троян Ozone RAT..

 

APT-группа Sticky Werewolf, по данным экспертов, объявилась в интернете в апреле 2023 года. Атаки проводятся в основном в России и Белоруссии, их целью является шпионаж.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ГК Softline выведет на IPO дочек Девелонику, Bell Integrator и SL Soft

ГК Softline собирается объединить дочерние ИТ-компании Bell Integrator, «Девелоника» и SL Soft и провести IPO нового субхолдинга — скорее всего, во второй половине 2025 года, когда условия станут более благоприятными.

Как стало известно ТАСС, первое публичное размещение может состояться на Мосбирже, где торгуются акции самой Softline. Суммарная капитализация трех дочек, по оценкам, превышает 40 млрд руб., валовая рентабельность после объединения может достичь 80%.

Согласно последнему финотчету Softline (по МСФО), в III квартале текущего года оборот группы ИТ-компаний достиг 28,3 млрд руб., увеличившись на 28% в сравнении с показателем годовой давности. Валовая рентабельность возросла до 29% (на 3 п. п.).

Чистая прибыль, полученная в отчетный период, превысила 2 млрд рублей. Скорректированный показатель EBITDA возрос более чем в два раза, до 1,2 млрд рублей.

Выводить своих дочек на биржу собирался также «Ростелеком». Осенью ожидалось IPO «РТК-ЦОД», но в итоге оно было отложено до лучших времен. После этого настанет черед ГК «Солар», эти планы пока в силе.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru