#ThreatIntel: Анализируя дампы на ANY[.]RUN обнаружил подозрительный EML-файл, содержащий целевую фишинговую атаку против турецкого оборонного гиганта Baykar Technology (производитель БПЛА Bayraktar).

Данный инцидент представляет собой критический кейс #VendorEmailCompromise (VEC) и компрометации цепочки поставок (#SupplyChain).

🎯 Взлом легитимного домена партнера:
Вредоносные письма рассылались с домена aviaventures[.]net. Это реальный легитимный домен компании Avia Ventures — официального партнера Baykar, строящего завод по сборке беспилотников в Украине. Поскольку технические проверки SPF, DKIM и DMARC дали статус PASS, это полностью исключает подделку имени (spoofing). Атакующие получили контроль над почтовой инфраструктурой партнера, что позволило им перехватывать реальные цепочки писем (Thread Hijacking) с максимальным уровнем доверия со стороны жертвы.

⚙️ Технический #АнализМалвари и цепочки заражения:

1️⃣ Обход песочниц (Sandbox Evasion): Жертве присылают ссылку на запароленный ZIP-архив на LimeWire. Внутри находится VBS-скрипт, искусственно «раздутый» комментариями до 6.14 МБ. Это сделано для обхода автоматических систем анализа (песочниц), которые часто пропускают файлы крупнее 5 МБ ради сохранения производительности.

2️⃣ Закрепление (Persistence): Деобфусцированный VBS запускает скрытый PowerShell-агент. Он копирует себя в %APPDATA%\Microsoft\Vault\sync_agent.ps1 (мимикрия под системное хранилище учетных данных) и прописывается в автозагрузку текущего пользователя (HKCU\...\Run) под именем WindowsUpdateSync.

3️⃣ Интерактивный бэкдор (RAT): Финальный PowerShell-агент генерирует уникальный UID устройства и каждые 5 секунд запрашивает задачи с C2-сервера. Малварь поддерживает полноценный Reverse Shell (выполнение любых команд), просмотр директорий (ls), точечную кражу файлов (grab) и автоматический сбор документов пользователя.

🚨 Индикаторы компрометации (IoCs):

• Скомпрометированный домен партнера: aviaventures[.]net
• IP почтового сервера партнера: 37[.]77[.]29[.]120
• Ссылка на архив: hxxps[:]//limewire[.]com/d/iCJG8#UKQoAFZKPG
• URL C2-сервера (Stager): hxxp[:]//181[.]215[.]18[.]89/hurry[.]ps1
• URL документа-приманки: hxxps[:]//filesdownloadsecurely[.]netlify[.]app/letter[.]pdf
• Хэш VBS-даунлоадера (MD5): E030A7A1AE5685E62879D522F2DB2104
• Хэш VBS-бэкдора (MD5): C0376786BD41F9851554000A15E5AB15

Рекомендуется провести оперативный Threat Hunting на конечных точках на наличие ключа реестра WindowsUpdateSync и заблокировать трафик к указанному IP-адресу C2.

#ti@qcakz