Позначка: Кібервійна

Кампанія SmokeLoader націлена на українські урядові та корпоративні структури

Нещодавна публікація ASEC описує нову кампанію розповсюдження бекдора SmokeLoader, спрямовану на урядові та громадські установи в Україні. Ця спроба кібершпигунства є черговим витком кібератак проти України. Злодії переважно використовують фішингові електронні листи, написані українською мовою, аби обманом змусити одержувачів відкрити вкладені архівні файли.

Коротко про бекдор SmokeLoader

SmokeLoader, також відомий як Dofoil або Smoke Bot, – це шкідливе програмне забезпечення, що належить до категорії бекдорів/лоадерів. Його основне призначення – надання віддаленого доступу до системи та завантаження додаткового шкідливого ПЗ. Оперуючи на надзвичайно низькому рівні, SmokeLoader має можливість запускати інші шкідники майже у будь-якій системі, не наражаючись на ризик бути виявленим. Тим не менш, як показує дана кампанія, його можливості як бекдора є не менш гнучкими та корисними для зловмисників.

Атаки, які використовують SmokeLoader, часто характеризуються високим ступенем складності. SmokeLoader часто змінює свій цифровий підпис, щоб уникнути ідентифікації антивірусними програмами. Крім того, він використовує передові методи маскування коду, що робить його аналіз і виявлення складним завданням для антивірусного програмного забезпечення. Після попадання в систему він може завантажувати та встановлювати такі шкідливі програми, як клавіатурні шпигуни, модулі для викрадення даних та різні штами вірусів.

Механізм атаки

Злодії використовують ретельно створені фішингові листи українською мовою, щоб заманити в пастку жертву. Такий імейл надзвичайно легко зплутати з рутинною розсилкою, з якою зтикається більшість працівників великих підприємств. Ці листи можуть містити текст, що закликає отримувача відкрити вкладення або перейти за посиланням.

Шкідливие вкладення
Приклад фішингового листа з шкідливим вкладенням

Окрім тексту, вони містять вкладення у вигляді архівованих файлів (зазвичай, ZIP або RAR), які містять шкідливе програмне забезпечення. Назва файлу зазвичай маскується під безпечний документ, наприклад, PDF. Вкладення можуть містити більше одного рівня архіву, приховуючи справжній шкідливий файл. Наприклад, ZIP-файл може містити ще один архів, який, у свою чергу, містить виконуваний файл у форматі SFX.

Механізм атаки SmokeLoader

Коли користувач розпаковує файли та запускає виконуваний файл, активується шкідливий код. В цьому випадку SmokeLoader може ініціювати завантаження та встановлення додаткових шкідливих модулів. Після активації, SmokeLoader з’єднується з сервером C&C для отримання інструкцій та додаткового шкідливого ПЗ. Завантажене шкідливе ПЗ може виконувати різноманітні дії, включаючи крадіжку даних, шпигунство, шифрування файлів для викупу (рансомваре) та інші зловмисні дії.

Реакція держави

CERT-UA – українська урядова команда реагування на комп’ютерні надзвичайні події – попереджає про активізацію цієї кампанії, особливо націленої на фінансовий сектор. Кампанія UAC-0006 демонструє деякі зміни в тактиці порівняно з попередніми ітераціями, використовуючи різні методи доставки та потенційно включаючи додаткові інструменти.

Поради організаціям

Організації, особливо в таких важливих секторах, як уряд і критична інфраструктура, повинні зберігати пильність і впроваджувати надійні заходи кібербезпеки.

  • Не відкривайте електронні листи, посилання або вкладення від невідомих або підозрілих джерел. Фішингові атаки часто виглядають як листи від законних компаній або осіб.
  • Переконайтеся, що електронна пошта відправника відповідає офіційній адресі компанії. Фішери часто використовують адреси, які виглядають подібно до справжніх, але містять дрібні помилки або зміни.
  • Не натискайте на посилання у сумнівних електронних листах. Наведіть курсор на посилання, щоб побачити, куди воно веде, перш ніж натискати.
  • Регулярно оновлюйте вашу антивірусну програму та інше програмне забезпечення, включаючи операційні системи та браузери, щоб захистити себе від відомих вразливостей.

Російські хакери Sandworm атакували українську енергоінфраструктуру на тлі ракетних ударів

Компанія Mandiant розкрила деякі подробиці про кібератаку на енергосистему України, яку організувала російська хакерська група Sandworm. Ця атака посприяла на відключення електроенергії на електричній підстанції в Україні в жовтні 2022 року.

Російські хакери Sandworm спричинили відключення електроенергії в Україні на тлі ракетних ударів

Як виявилося, ракетні обстріли енергетичної інфраструктури – не єдине, що залишає нас з вами без електроживлення. За даними експертів з кібербезпеки, російські хакери атакували системи управління енергетичною інфраструктурою України за кілька днів до ракетних обстрілів. Ці атаки призвели до того, що системи управління були дестабілізовані, а отже менш керовані у випадку надзвичайних ситуацій.

Одна з таких груп – російська хакерська група Sandworm, чий спосіб дій полягав у використанні методів оперативної технології (OT). Це дозволило зловмисникам маніпулювати автоматичними вимикачами підстанції-цілі, що призводило до незапланованого відключення електроенергії. Саме цей стратегічний крок збігся з серією масованих ракетних ударів по об’єктах критичної інфраструктури по всій Україні. Дослідники з Mandiant підкреслюють, що атака мала двоетапний характер. Пізніше, Sandworm розгорнув новий варіант шкідливого програмного забезпечення CaddyWiper в ІТ-середовищі цільового об’єкта інфраструктури.

Атаки російських хакерів на українську енергосистему

Кібератаки на українську енергосистему є серйозною загрозою для національної безпеки країни. Одна з найбільш відомих кібер атак на українську енергосистему відбулася 23 грудня 2015 року. У цій атаці було використане шкідливе ПЗ BlackEnergy, яке було розроблене тією ж групою Sandworm і потрапило у цільові системи за допомогою соціальної інженерії. Внаслідок цієї атаки було відключено 30 підстанцій у Івано-Франківській області. Без світла залишилися близько 230 тисяч споживачів. Відновлення електропостачання тривало близько шести годин.

Наступна серйозна атака цього угрупування відбулася вже під час повномасштабного вторгнення – у жовтні 2022 року. Цей інцидент є частиною наполегливих зусиль Sandworm, спрямованих на виведення з ладу та компрометацію української енергосистеми. У попередніх атаках угруповання використовувало різні шкідливі програми, в тому числі Industroyer. Вибір нового варіанту CaddyWiper для цієї останньої атаки свідчить про те, що тактика Sandworm еволюціонує та адаптується.

Хронологія атаки 2022 року

Початковий вектор цієї кібер-фізичної атаки залишається незрозумілим, але вважається, що використання методів LotL прискорило її виконання, мінімізувавши час і ресурси, необхідні для успішної реалізації. Вторгнення відбулося приблизно в червні 2022 року, коли Sandworm отримав доступ до середовища операційних технологій (ОТ) через гіпервізор, на якому був розміщений екземпляр системи диспетчерського управління та збору даних (SCADA) для підстанції-жертви.

10 жовтня 2022 року Sandworm використав файл образу оптичного диска (ISO) для запуску шкідливого ПЗ, здатного вимкнути підстанції, тим самим спричинивши незаплановане відключення електроенергії. Через два дні після події, використовуючи OT група розгорнула новий варіант CaddyWiper в ІТ-середовищі жертви, потенційно спрямований на подальші перебої в роботі та вилучення артефактів для судової експертизи. Складності інциденту додає час проведення атаки, який тісно пов’язаний з початком скоординованих ракетних ударів по об’єктах критичної інфраструктури в багатьох містах України.

Схема зараження пыдстанції
Як выдбувалось зараження підстанціі

Атака Living off the land

Living off the land (LOTL, буквально “той, що живе поза суходолом”) – це назва різновиду безфайлового шкідливого програмного забезпечення та супутньої йому техніки кібератаки LOLbins. У цьому методі кіберзлочинець використовує саморобні інструменти та нешкідливі програми в системі жертви для проведення атаки. LOTL-атаки відрізняються від традиційних атак шкідливих програм відсутністю будь-якого сліду на дисках цільової системи: шкідник зберігається і виконується у оперативній пам’яті системи.

Для проведення атаки зловмисник використовує вже наявні в середовищі інструменти, такі як PowerShell, Windows Management Instrumentation (WMI) або інструмент для зламу системи аутентифікації Mimikatz. Такі атаки складніше виявити, оскільки хакер не використовує типові для кібератак види шкідливого ПЗ, і не залишає слідів на диску. Це ускладнює пошук відомих скриптів або файлів шкідливого програмного забезпечення традиційними засобами безпеки. Таким чином, хакер може залишатися непоміченим у середовищі жертви тижнями, місяцями або навіть роками через таку недосконалість в інструментах безпеки.

Наслідки атаки та їх вирішення

Наразі Mandiant не розголошує інформацію про об’єкт, на який була спрямована атака, тривалість відключення електроенергії та масштаби впливу на місцеве населення. Однак експерти підкреслили безпосередню загрозу цієї атаки, особливо для українських об’єктів критичної інфраструктури, що використовують систему диспетчерського управління MicroSCADA.

Компанія закликала власників активів по всьому світу, враховуючи активну діяльність Sandworm та широке розповсюдження продуктів MicroSCADA, вжити проактивних заходів для пом’якшення своїх тактик, методів та процедур, спрямованих проти ІТ та OT систем. Кібератака Sandworm в Україні слугує суворим нагадуванням про еволюцію кіберзагроз та нагальну потребу в глобальній пильності та проактивних заходах з кібербезпеки.

Російське угруповання хакерів Cold River атакувало ядерні лабораторії США

Агентство Рейтер встановило, що хакери, яких експерти з кібербезпеки пов’язують із Росією, намагалися атакувати американські ядерні лабораторії. Угруповання Cold River, що підтримує інформаційні операції Кремля, пов’язане з жителем Сиктивкара Андрієм Корінцем, вважають експерти.

Як стверджують журналісти, у серпні-вересні минулого року хакери з угруповання Cold River спробували проникнути у внутрішні мережі національної лабораторії Брукхейвен у штаті Нью-Йорк, Аргонської національної лабораторії в Чикаго і Ліверморської національної лабораторії в Каліфорнії. Усіма трьома лабораторіями керує міністерство енергетики США.

В агентстві Рейтер встановили, що пов’язані з хакерською групою люди намагалися отримати паролі від внутрішніх мереж установ. Та створювали фальшиві логін-екрани і надсилаючи електронні листи їхнім співробітникам. З якою метою вони хотіли зламати лабораторії, журналістам невідомо. У міністерстві енергетики США і російському посольстві у Вашингтоні не відповіли на запитання агентства.

Зв’язок цих спроб атаки з угрупованням Cold River підтверджують п’ять експертів з індустрії кібербезпеки – хакери залишили цифрові сліди, які раніше були пов’язані з Cold River.

Американське Агентство національної безпеки і британський Центр урядових комунікацій не стали коментувати активність угрупування.

Деталі про Cold River

Активність Cold River значно зросла з початком повномасштабного російського вторгнення в Україну, зазначають опитані агентством експерти з кібербезпеки. Перші кібератаки проти американських лабораторій почалися незабаром після прибуття місії Агентства ООН з атомної енергетики (МАГАТЕ) на захоплену російськими військами Запорізьку АЕС. Метою місії було забезпечити безпеку і за можливості встановити демілітаризовану зону навколо станції.

Cold River потрапила в поле зору західних експертів після атаки на системи британського міністерства закордонних справ 2016 року і відтоді, на думку експертів, брала участь у кількох десятках інформаційних операцій.

У травні хакери опублікували електронні листи колишнього глави британської розвідслужби МІ-6. В липні вони атакували сайти уряду Литви незабаром після того, як її влада заблокувала транспортування вантажів, які прямують до Росії з Калінінградської області через литовську територію. Тоді в телеграм-каналі однієї з відомих російських хакерських груп з’явився заклик атакувати литовські держустанови – разом зі списком цілей. Від початку війни хакери атакували державні сайти та внутрішні системи розвідслужб Польщі, Румунії, Молдови та Болгарії.

Також Cold River пов’язують щонайменше з трьома фейковими вебсайтами, що імітують сайти НКО, які розслідують воєнні злочини в Україні. Принаймі так кажуть у французькій компанії SEKOIA.IO. Кібератаки почалися незабаром після публікації в жовтні висновків незалежної комісії ООН про те, що російські військові несуть відповідальність за переважну більшість військових злочинів в Україні. У SEKOIA.IO вважають, що метою цих спроб злому був збір Росією інформації про свідчення військових злочинів.

Ряд помилок хакерів

За останні роки хакери з Cold River зробили низку помилок, які дали змогу експертам із кібербезпеки принаймні частково їх відстежити і підтвердити їхній зв’язок із Росією, кажуть експерти з компаній Google, BAE і Nisos. Кілька пов’язаних із сайтами електронних адрес, як виявилося, належать 35-річному жителю Сиктивкара Андрію Корінцу, відомому в ІТ-середовищі міста.

Біллі Леонард, експерт із державних хакерських операцій із Google, вважає, що Корінець пов’язаний з операціями Cold River. “Google ідентифікувала цю людину як пов’язану з групою Cold River та їхніми ранніми операціями”, – каже він.

Директор з безпеки компанії Nisos Вінцас Чажунас теж пов’язує Корінця з цими хакерами і називає їх угрупування “центральною фігурою” в хакерській спільноті Сиктивкара. Зареєстровані на його ім’я електронні адреси пов’язали зі створеними хакерами сайтами і самі журналісти, за допомогою інструментів Constella Intelligence і DomainTools.

Сам Корінець відповів на запитання агентства. Він сказав, що його єдиний хакерський досвід мав місце кілька років тому. Тоді коли російський суд призначив йому штраф за кібератаку.

“Чи мав Корінець стосунок до операцій Cold River після 2020 року, незрозуміло. Він не став пояснювати, як пов’язані з операціями хакерів його електронні адреси, і перестав відповідати на дзвінки та листи”, – пише агентство.

ІТ-армія вивела з ладу майже 450 російських ресурсів за два тижні

За останні два тижні, з 15 по 28 серпня, IT-армія вивела з ладу понад 450 російських ресурсів. Про це повідомляє Укрінформ в своєму телеграм-каналі. Серед переліку пошкоджених сервісів були центральний банк, сервіс пошуку роботи та популярні сервіси переказу грошей.

В список заблокованих ресурсів також увійшли: партія “справедливая Россия – патриоты – за правду”, рітейл-компанія DNS, російські сайти у тимчасово окупованому Криму та низка пропагандистських ЗМІ.

Внаслідок кібератаки на центральний банк рф, робота з фінустановами та реєстрами була паралізована та дестабілізувала роботу інших банків росії. Проте, банку вдалося відключити обмін електронними документами та свої сервіси. Слід зазначити, що після того, як IT-армія зуміла призупинити аналоги банківських сервісів, росіяни втратил змогу оформляти міжнародні віртуальні карти і переказувати кошти.

Російський сайт по пошуку роботи SuperJob, який діяв у тимчасово захоплених територіях теж зазанав багів. Це цілком добра новина, адже завдяки цьому сервісу росіяни могли швидко відкривати вакансії для працевлаштування своїх людей. Таким чином вони хотіли повноцінно встановити свою владу.

Сайт рітейл-компанії DNS, який дозволяв росіянам безперешкодно та незаконно імпортувати іноземні товари в рф, був зламаний та виведений з ладу. Фахівці з кібербезпеки вивели з ладу РИА “Новости”, ТАСС, “Московский комсомолец” та їх деякі проекти. Ці ресурси втратили понад мільйон потенційних споживачів пропаганди.

24 серпня, IT-армія розмістила привітання з Днем Незалежності України на всіх головних сторінках російських сайтів, які зараз діють у Криму.

З 1 по 14 серпня українці фахівці по кібербезпеці заблокували близько 600 онлайн-ресурсів російської федерації, серед яких Пенсійний фонд рф, Пошта росії. Про це повідомляє Міністерство цифрової трансформації України.

Російсько-українська кібервійна

Як би це дивно не звучало, але повномасштабна агресія росії почалась задовго до 24 лютого. 15 січня було атаковано сайти міністерств та додаток “Дія”, а місяць по тому українські банки повідомили про потужні DDoS атаки. Однак і після вторгнення військ країни-терориста кіберпростір не перестав бути полем битви. Українські ентузіасти, хакери-одинаки та міжнародні угрупування на кшталт Anonymous почали невидиму війну з росією. До процесу приєдналися і міжнародні компанії, які мають вагомий вплив у Інтернеті. Фактично, це перша війна що проходить не лише на суші, у повітрі та на морі, але й у кіберпросторі. Давайте розглянемо ключові події, що мали місце на кіберфронті.

Як війна змінила інтернет-простір?

Окрім рядових користувачів, до інформаційної війни приєдналися такі впливові угрупування як Anonymous. Хакери Anonymous опублікували звернення до Володимира Путіна в якому оголосили кібервійну його агресивному режиму. Саме вони зламали сайт Міноборони РФ та оприлюднили базу даних особистими даними його співробітників.

Згодом до цієї війни приєднались такі IT гіганти як Apple, Google, Meta, Twitter та інші впливові компанії. Таким чином на Facebook були додані нові функції, що не дозволяє переглянути список друзів профілю, заборонили рекламу російських медіа та демонетизували їхні профілі.

Також YouTube відключили монетизацію для усіх російських користувачів, а також заблокував пропагандистські російські канали в Україні. Apple своєю чергою можливість використовувати карти “мир” у сервісі Apple Pay. Google відключили деякі функції Google Map в Україні, для забезпечення безпеки громадян та автоматично посилили захист облікових записів Google для українців.

Більшість онлайн сервісів, такі як VPN провайдери, підтримали Україну, надавши безплатний доступ до своїх послуг для українців. Це лише незначна частина усіх тих подій, які відбувалися у кіберпросторі упродовж повномасштабного вторгнення.

Однак дуже багато кібератак було спрямовано зі сторони Росії на українців. Зазвичай це були спам розсилки на пошти українців від імені державних структур. Хоча більшість атак спрямовано на те, щоб заволодіти конфіденційними даними українців, деякі робляться, щоб розповсюдити дезінформацію. Таким чином, 27 лютого, Meta повідомила, що зупинила хакерські атаки на Україну зі сторони Білорусі та Росії.

Російсько-українська кібервійна
Приклад повідомлення, яке отримували українці

В березні група Anonymous зламала стрімінгові сервіси Wink і IVI в Росії, після чого замість фільмів були показані кадри російських бомбардувань в Україні. Також ця група зламала базу даних Роскомнагляду та оприлюднила понад 360 тисяч файлів, а через декілька днів їм вдалося завантажити декілька ГБ закритих даних російської компанії “Росатом”. 5 березня Anonymous припинила роботу вебсайту fsb.ru

Згодом такі компанії як Rockstar Games, Activision Blizzard, Electronic Arts, CD Projekt припиняють продаж своїх продуктів на території РФ. А Ігрова студія From Software забирає у гравців з РФ вже придбані примірники гри Elden Ring.

20 березня о 21:00 було зламано офіційну групу ВКонтакте. Від її імені користувачам ВК було надіслано лист з текстом «Російська армія перетворила на руїни багато мирних міст, знищила понад 3500 об’єктів цивільної інфраструктури».

Російсько-українська кібервійна
Одне з повідомлень, надіслане від імені офіційної групи BK

Через кілька днів хакери Anonymous знов нагадують про себе зламавши сайт компанії Nestle, яка відмовилась покидати ринок РФ, а згодом все ті ж хакери ламають центральний банк Росії та обіцяють впродовж 48 годин опублікувати 35 тисяч файлів, зокрема секретні угоди.

23 березня українські хакери зламали понад 30 державних сайтів РБ, серед яких Беглісс, Держстандарт та видалили більш ніж 80 ТБ документів, а українські хакери «Кібер-Козаки» поклали сайт МЗС та податкової РБ. Наступного дня Anonymous опублікували 28 ГБ інформації після зламу центробанку РФ.

  • 28 березня Anonymous здійснили кібератаку на сервери управління цивільної авіації та знищили усі дані, а також дані резервних копій. Згодом до списку приєднались РПЦ, в яких було викрито 15 ГБ даних та приблизно 57 500 електронних листів.

  • 4 квітня Anonymous оприлюднили персональні дані 120 000 російських солдатів, які воюють в Україні, а 8 квітня Microsoft зірвала спроби російських хакерів Strontium, пов’язаних з ГРУ РФ, зламати комп’ютери в Україні, країнах ЄС та США

  • 19 квітня Anonymous повідомили про злам російського банку ПСКБ та намір “злити” 800 ГБ конфіденційних даних, а 23 квітня вони зламали 645 000 електронних листів від «Энерпред-гидравлик».

  • 11 травня Anonymous зламали RuTube, знищив до 75% баз даних інфраструктури основної версії, та до 90% резервних копій кластера до відновлення цих баз даних.

  • 30 травня по 5 червня українська ІТ-армія атакувала близько 600 російських ресурсів за тиждень, серед яких ЗМІ, інтернет-провайдери та інформаційні системи. Через ці атаки деякі регіональні ЗМІ стабільно лежали тижнями, а росіяни мали складнощі з доступом до таких державних сервісів як Міністерства праці та соц. захисту РФ, житлового будівництва куди забудовники вносять відомості по об’єкту, ресурси з нерухомості та інші.

До Дня Незалежності ймовірне посилення атак російських хакерів: Українців Попередили

У зв’язку зі святом Дня Незалежності України, 24 серпня, російські хакери можуть посилити атаки проти українців. Про це повідомляє Державна служба спеціального зв’язку. Повідомлення з таким зверненням було опубліковане в телеграм каналі і мало наступний зміст:

Незалежність та свобода України не дають спокою російським загарбникам. Саме у значні державні дати зазвичай активізується ворог. Тому ми очікуємо посилення атак з боку окупантів напередодні та в день відзначення найважливішого для українців державного свята – Дня Незалежності. І не тільки на полі бою, а й у кіберпросторі.”

Фахівці припускають, що в підвищеній зоні небезпеки знаходяться держслужбовці, працівники критичної інфраструктури, військові, та всі ті, хто можуть бути точкою доступу до інформаційних систем України.

Крім того, у Держспецзв’язку надали певні рекомендації, щодо запобігання ймовірної загрози.

Зокрема, потрібно замінити слабкі паролі на більш надійні, до всіх важливих облікових записів. За можливістю скористатися двофакторною аутентифікацією. Встановити всі оновлення програм на ПК та смартфонах. Просканувати пристої за допомогою антивірусних програм. Необхідно видалити всі російські програми, піратські програми, та ті які були дано встановленні і не несуть ніякого сенсу. На всі файли та документи слід зробити резервні копії, щоб в разі необхідності їх можна було відновити.

У державній службі також наголошують не завантажувати файли з невідомих джерел, які несуть сумнівний характер. Користувачі повинні бути пильні з повідомленнями на email, тому що, хакери частіш за все атакують через спам (розсилання небезпечних файлів).

“Пам’ятайте, що посилання на фішингові сайти можуть бути “замасковані” під привітання зі святом. Не переходьте за посиланнями, отриманими від незнайомців та навіть від друзів”, – зазначили у Держспецзв’язку.

Зловмисники можуть маскуватись під представників держорганів, тому в такому випадку потрібно бути більш обачними з адресами відправника. Не потрібно відкривати сумнівних вкладень і переходити за підозрілими посиланнями.

В Україні за липень 2022 року вже зареєстровано 203 ворожі кібератаки, про це повідомляє Укрінформ. Всі ці атаки налаштовані проти органів державного управління.

Українців попереджають про нову кібератаку з використанням шкідливої програми-викрадача

Нещодавно стало відомо про розповсюдження нового небезпечного файла, під назвою «Доповідь0507224.ppt». Про це докладає урядова команда реагування на комп’ютерні надзвичайні події України CERT-US, яка діє при Держспецзв’язку.

Даний файл містить в собі зображення-мініатюру, на якій згадується оперативне командування “Південь”. У Держспецзв’язку наголошують: “Відкриття цього файлу та активація макросу може призвести до запуску на комп’ютері шкідливої програми-стілера Agent Tesla, та до викрадення інформації.”

Це насправді так, тому що при відкритті цього небезпечного файла створюються файли “gksg023ig.lnk” та “sgegkseg23mjl.exe”, а також виконання LNK-файлу за допомогою rundll32.exe. Все це призведе до запуску згаданого EXE-файлу.

Виконуваний файл являється NET-програмою та обфускованою за допомогою ConfuserEx, який в свою чергу, здійснює пошук відповідного офсету, завантаження JPEG-файлу “thumb_d_F3D14F4982A256B5CDAE9BD579429AE7.jpg”, дешифрування та декомпресію даних, та запуск отриманої в результаті NET-програми MCMDiction.exe.

Після цих всіх перетворень (AES, Gzip, XOR, base64) із застосуванням стенографії , на комп’ютері буде активовано небезпечну программу-стілер Agent Tesla.

Дивлячись на імя на котент-приманку PPT-документу, фахівці припускають, що ця нова кібератака націлена зокрема на державні організації України.

Слід зазначити, що з початку повномасштабної війни російська федерація нанесла близко 796-ти кібератак проти України , але, як ми бачимо, це ще не кінець.