Специалисты IBM Security X-Force обратили внимание, что с самого начала спецоперации хак-группа TrickBot «систематически атакует» Украину, чего не наблюдалось ранее. Считается, что с середины апреля по июнь 2022 года хакеры организовали уже как минимум шесть таких фишинговых кампаний.
Напомню, что хак-группа TrickBot (она же ITG23, Gold Blackburn и Wizard Spider) считается финансово мотивированной группировкой, которая известна в основном благодаря разработке одноименного банковского трояна TrickBot. С годами TrickBot эволюционировал из классического банкера, предназначенного для кражи средств с банковских счетов, до многофункционального дроппера, распространяющего другие угрозы (от майнеров и шифровальщиков до инфостилеров).
В отчете отмечается, что, по данным исследователей, недавно группа перешла под управление Conti, а операторы Conti выражали полное согласие с политикой российских властей еще в начале спецоперации.
По информации IBM Security X-Force, в последнее время TrickBot переключила свое внимание на Украину, и в ходе таргетированных атак были задействованы такие инструменты, как IcedID, CobaltStrike, AnchorMail и Meterpreter. Подчеркивается, что ранее Украина не интересовала хакеров, и большая часть малвари группы теперь настроена таким образом, чтобы не выполняться в системах, где не обнаружен украинский язык.
Отчет компании гласит, что в качестве приманки группа нередко использовала угрозу ядреного конфликта, распространяя вредоносный файл Nuclear.xls, посредством которого уже происходило распространение нового вредоноса AnchorMail.
Также исследователи отмечают применение хакерами нового криптора Forest, который используется, чтобы избежать обнаружения и защищает пейлоады CobaltStrike и IcedID. Предполагается, что его разработчик, дистрибьютор или оператор может быть частью самой группировки, либо иметь партнерские отношения с TrickBot.
«Систематические атаки против Украины, включали фишинговые атаки на украинские органы государственной власти, украинских граждан и организации, а также на население в целом. Успешные атаки, которые приводят к краже данных или заражению вымогателями, предоставят ITG23 дополнительные возможности для вымогательства, а особо опасные инциденты способны нанести ущерб экономике Украины», — предупредили эксперты.
