UAC-0006 是一个以经济为目的的网络威胁组织，它再次出现，发起了一场复杂的网络钓鱼活动，目标是乌克兰最大的国有银行 PrivatBank 的客户。该活动利用包含恶意 JavaScript、VBScript 和 LNK 文件的受密码保护的档案来绕过检测，并通过进程注入和 PowerShell 执行部署 SmokeLoader 恶意软件。UAC-0006 在战术、技术和程序 (TTP) 方面与臭名昭著的 FIN7 和其他俄罗斯 APT 有很大的重叠，其目的是窃取凭证和财务数据，同时保持对受感染系统的持续访问。组织必须保持警惕，增强安全意识，并实施强大的威胁情报来应对这种日益严重的网络威胁。

执行摘要

正在进行的网络钓鱼活动由 UAC-0006 发起，该威胁行为者以经济利益为目的，其目标是乌克兰最大银行 PrivatBank 的客户。此活动使用包含恶意 JavaScript、VBScript 或 LNK 文件的受密码保护的档案来逃避检测。有效载荷包括 SmokeLoader，使用进程注入、PowerShell 和合法系统二进制文件传递，从而导致 C2 通信和有效载荷执行。UAC-0006 的策略、技术和程序 (TTP) 与 FIN7 的策略、技术和程序 (TTP) 重叠，表明与俄罗斯 APT 活动有联系。

分析

根据样本属性，我们发现威胁行为者正在实施一项活动。这是一项以支付为主题的网络钓鱼活动，目标是乌克兰最大的国有银行的客户。

以支付为主题的网络钓鱼活动（针对乌克兰最大的国有银行）

威胁行为者至少从 2024 年 11 月开始就将 PrivatBank 的客户作为目标，自那时起，已在野外发现了二十多个不同的样本。

1. 网络钓鱼诱饵（SHA256）： 5a0b48ccc1a353c4ace5e9626f17622611432a016577797d4c891ca945ffa7f8（Privatbank invoce_payment_20_12_2024.zip）丢弃 80c450570cd338a594546f9e6c189ffc2a849d3bac3759c53592af30840ffb90（Платiжна iнструкция №187-ФГ вig 19.12.2024p.pdf.js - 转换为_付款指令编号 187-FY 日期为 19.12.2024p.pdf.js）1. 网络钓鱼诱饵（SHA256）： 5a0b48ccc1a353c4ace5e9626f17622611432a016577797d4c891ca945ffa7f8（ Privatbank invoce payment_20_12_2024.zip）丢弃80c450570cd338a594546f9e6c189ffc2a849d3bac3759c53592af30840ffb90（ Платiжна iнструкция №187-ФГ вig 19.12.2024p.pdf.js - 为付款指令编号 187-FY 日期为 19.12.2024p.pdf.js ）

‍

译文：

账户有效期为三个银行工作日。如果三个银行工作日内未付款，金额将被更改。

客户须知：

1. 零部件（材料）的储备期限为5天。可延长储备期限

2. 单独订购、更换和退回的电子装置、仪表板和备件

警告！授权书必须按照 1996 年 5 月 15 日第 99 号指令签发。在购买备件（包括贵重物品）的情况下。在对汽车进行维护或维修的情况下，不接受在金额上注明汽车型号和注册号码。

‍‍ ‍‍

2. 网络钓鱼诱饵（SHA256）： e0c57518aeef787bcf7cc13484486cfa48458bdf6b0baee02598e777a3ef83f2（invoce2.pdf）丢弃ca90047f4c8b5c6628e38f11c1b3411ac8f0040a2d72e35c1a37de1d9a127131（Скан-копiя Власника.pdf.js - 转换为Owner.pdf.js的扫描副本）和dada50182ca98f75e0055f9b4a47d8ef3a6dda5c126cac309467c02257f3c1c0 (Скан-копiя Паспорт.vbs) - 翻译为Passport.vbs 的扫描副本）2. 网络钓鱼诱饵（SHA256）： e0c57518aeef787bcf7cc13484486cfa48458bdf6b0baee02598e777a3ef83f2（ invoce2.pdf ）丢弃ca90047f4c8b5c6628e38f11c1b3411ac8f0040a2d72e35c1a37de1d9a127131（Скан-копiя Власника.pdf.js - 转换为Owner.pdf.js的扫描副本）和dada50182ca98f75e0055f9b4a47d8ef3a6dda5c126cac309467c02257f3c1c0 (Скан-копiя Паспорт.vbs) - 翻译为 Passport.vbs 的扫描副本）

‍

‍

攻击流程

‍

GetSmoked - 执行流程 - 2024 年 10 月至 2025 年 1 月初

‍

GetSmoked - 执行流程 - 2025 年 1 月下旬

‍

1. 威胁者发送带有密码保护的 zip/rar 附件的钓鱼电子邮件。存档更有可能受密码保护，以逃避电子邮件安全检查。
2. 从档案中提取了一个恶意的 javascript 文件和一个恶意的 VBScript。
3. javascript 对 wscript.exe 执行进程注入，进而运行编码的 powershell 命令。
4. powershell 命令用于完成两个任务：
   1. 首先，它会打开用户下载并执行附件时要打开的 PDF。
   2. 其次，它联系 SmokeLoader 的 C2 服务器来下载并执行威胁行为者选择的最终有效载荷。
5. 最近，我们开始看到 UAC-0006 在其网络钓鱼诱饵中使用 LNK 诱饵。执行 .lnk 文件时，它会使用指定的命令行参数运行 powershell.exe。这会启动 mshta.exe 来检索和执行托管在 C2 服务器上的文件。

‍

归因

我们对威胁行为者进行了以下观察：

• 他们热衷于使用具有恶意功能的网络钓鱼诱饵。
• 他们只是喜欢powershell。
• 他们一直以乌克兰最大的银行为目标（例如 - 向乌克兰 Privatbank 发送多封网络钓鱼电子邮件）

这些属性与 UAC-0006 的概况高度重叠，UAC-0006是一个以经济为目的的威胁行为者组织。2023 年至 2025 年期间，除了之前报告中公开的内容外，该威胁行为者组织还开始在其网络钓鱼攻击链中使用LNK 和 VBScript。这凸显了与 EmpireMonkey 的 TTP 重叠，EmpireMonkey 是一个似乎与 Carbanak、Anunak 和/或 FIN7 有直接关系的威胁行为者组织。值得注意的是，FIN7 是一个俄罗斯 APT 组织，已知与 Black Basta 勒索软件组织有联系。

‍

钻石型号：UAC-0006

MITRE Mapping MITRE 映射

‍

‍

Indicators of Compromise 攻击指标

‍

‍

YARA Rules Yara规则

rule Detect_Obfuscated_PowerShell_AES_Decryption {
meta:
author = "CloudSEK TRIAD"
description = "Detects obfuscated PowerShell execution with AES decryption techniques"
date = "2025-01-28"
threat_actor = "Unknown"
ttp = "Obfuscated PowerShell with AES decryption"

strings:
    $powershell_flags = "-w 1 -ep Unrestricted -nop"
    $split_obfuscation = "return -split"
    $aes_create = "[Security.Cryptography.Aes]::Create()"
    $decryptor = ".CreateDecryptor("
    $transform_final_block = ".TransformFinalBlock("
    $char_array_join = "-join [char[]]"
    $custom_function_start = "function "
    $hex_processing = "-replace '..', '0x$& '"

condition:
    uint16(0) == 0x5a4d and
    (
        all of ($powershell_flags, $split_obfuscation) or
        all of ($aes_create, $decryptor, $transform_final_block) or
        all of ($custom_function_start, $hex_processing)
    )

}

rule Detect_PowerShell_TTP_JS_PDF_Lure {
meta:
description = "Detects malicious PowerShell TTP triggered from .js in phishing PDF lures"
author = "CloudSEK TRIAD"
date = "2025-01-28"
reference = "Threat intelligence analysis"
tags = ["PowerShell", "phishing", "TTP", "malware", "PDF", "JS"]

strings:
    $powershell_flags = "-w 1 -ep Unrestricted -nop"
    $function_def_bdhOG = "function bdhOG"
    $function_def_ujddZ = "function ujddZ"
    $aes_create = "([Security.Cryptography.Aes]::Create()).CreateDecryptor"
    $wscript_call = /"WScript\.exe" called "CreateProcessW" with parameter/i
    $embedded_js = /.*<\/script>/is

condition:
    1 of ($powershell_flags, $function_def_bdhOG, $function_def_ujddZ, $aes_create) and
    $wscript_call and
    $embedded_js

}