Наші новини


Дізнайтеся першими про результати нашої роботи та останні новини
в сфері інформаційної безпеки

hJnwx09cWtVmSRTyi7XGafhjasQKa5JAdsLywYAw.png

 

Повторні фішинг-розсилки з #Smokeloader, запакованим в lzh архів.

Листи приходять на адреси державних органів влади. Текст листа українською мовою, що свідчить про цілеспрямоване розповсюдження в Україні. Для прикриття в архів вкладений xlsx-файл з деякою інформацією.

Як повідомлялося раніше, даний вірус являється завантажувачем і використовується різними зловмисниками для завантаження іншого шкідливого програмного забезпечення без Вашої згоди і відома. 

Будьте обережні! Не відкривайте вкладення листів та не переходьте за невідомими посиланнями з електронного листа, який ви не очікували отримати.

Інформація про попередні хвилі розсилок:
https://cert.gov.ua/news/50


Рекомендації:

  • Не відкривайте прикріплені файли в листах, яких Ви не очікували отримати.
  • Перевіряйте відправника повідомлення.
  • Блокуйте WSH або трафік cscript/wscript.
  • Фільтруйте нестандартні архіви та скриптові файли.
  • Блокуйте на Proxy нетипові User Agent.
  • Виконуйте основні правила кібергігієни .

Rate VirusTotal:3/57

Індикатори компрометації (IOC):
https://pastebin.com/xkVZtczH (Оновлюється)

-----------------29.01.2019-----------------
File: К оплате за январь Агро.lzh
File size: 114 KB (116 666 bytes)
MD5 checksum: 62CD291C9F341A74C84168DDE992083D
SHA256 checksum: 1EF967444D626187BD3762E3B12D11F26A1B61C163691D6F809F3888972575CD

File: Рахунок №6-19 от 29.01.2019р.xls.js
File size: 98,6 KB (100 984 bytes)
MD5 checksum: 15B9269D61F3E21A6990969F54A158D5
SHA256 checksum: 1D59FF685A1EB844C2487AC489E719FB2D23A3D2D82207578A10E1E308F92DD4

Received: from [91.234.2.202] (helo=91.234.2.202.hata.net.ua)
by s4.uman.net.ua with esmtpa (Exim 4.82)
(envelope-from <sekretar2@svit-mebliv.ua>)

-----------------30.01.2019-----------------

File: договір та р.фактура від 30.01.19.lzh
File size: 102 KB (104 344 bytes)
MD5 checksum: B2B67EE7938D096A10B3D45DBA1DAC23
SHA256 checksum: 4509F9FA30D96DF3729112FECCDC4467FE176D97E3BDE43DA80976F68BC64667


File: Pax. 19-208 - 30.01.2019p..js
File size: 76,6 KB (78 478 bytes)
MD5 checksum: DF297E3A2635842DDBCB49B541956AA6
SHA256 checksum: 593E1D16C62029551058E377BDD82AC351D31C12EE5FB20C3BD83ABCA8A62181

File: unit.exe
File size: 471 KB (482 304 bytes)
MD5 checksum: A31EE1B959D804A560738AED872B6068
SHA256 checksum: 719BA15ABF04F7B449620C2D0F7917B32B69745FAD348327BE0DF519CB76ED79

Received: from out14.mi6.kiev.ua ([91.198.36.68])
    by prestol.it-mark.net with esmtps (Exim 4.90_1)
    (envelope-from <abed@i.ua>)
 

hххp://ceronamtinclube.icu/opuba/unit.exe [ 62.173.138.170]

C&C:
hххp://www.msftncsi.com/ncsi.txt
hххp://aviatorssm.bit/
 

Повідомити про інцидент