資安威脅趨勢 - 駭客集團UAC-0099鎖定烏克蘭組織，利用WinRAR漏洞植入惡意程式LonePage

駭客集團UAC-0099鎖定烏克蘭組織，利用WinRAR漏洞植入惡意程式LonePage

一、摘要

         駭客組織 UAC-0099 針對烏克蘭的持續攻擊，利用 WinRAR存在安全漏洞(CVE-2023-38831)，允許攻擊者遠端執行任意程式碼，進而植入惡意軟體 LonePage 。

二、存在風險

        駭客在攻擊行動中可能會利用法院傳票的名義，向收信人寄送包含HTA、RAR 和LNK 檔案附件的網路釣魚郵件，收信人若是依照指示執行，就有可能觸發偽裝成DOCX文件檔案的捷徑檔（LNK），然後執行帶有惡意內容的PowerShell程式碼。

該程式碼對2個以Base64編碼的大型雙位元物件（BLOB）進行解碼，並將輸出結果寫入特定的VBS及DOCX檔案，接著此程式碼會開啟DOCX檔案當作誘餌，並建立排程工作：每隔3分鐘啟動VBS惡意程式LonePage。此惡意程式向C2伺服器發出請求，並下載鍵盤記錄程式、竊資軟體和螢幕截圖工具，以便在受害電腦進一步發動攻擊。

若是收信人使用WinRAR打開ZIP檔附件，就會觸發該壓縮軟體的漏洞CVE-2023-38831（CVSS風險評分為7.8）。

UAC-0099 攻擊方式[圖片來自：deepinstinct]

        IoC：

1. 147.78.46[.]40
2. 196.196.156[.]2
3. 2.59.222[.]98
4. CVE Payload
• 54458ebfbe56bc932e75d6d0a5c1222286218a8ef26face40f2a0c0ec2517584
• f5f269cf469bf9c9703fe0903cda100acbb4b3e13dbfef6b6ee87a907e5fcd1b
5. CVE-2023-38831 ZIP
• 986694cad425c8f566e4e12c104811d4e8b30ce6c4c4d38f919b617b1aa66b05
• 87291b918218e01cac58ea55472d809d8cdd79266c372aebe9ee593c0f4e3b77
6. Decoy
• 2c2fa6b9fbb6aa270ba0f49ebb361ebf7d36258e1bdfd825bc2faeb738c487ed
• 53812d7bdaf5e8e5c1b99b4b9f3d8d3d7726d4c6c23a72fb109132d96ca725c2
• 61a5b971a6b5f9c2b5e9a860c996569da30369ac67108d4b8a71f58311a6e1f1
• f75f1d4c561fcb013e262b3667982759f215ba7e714c43474755b72ed7f9d01e
• 6a638569f831990df48669ca81fec37c6da380dbaaa6432d4407985e809810da
• 736c0128402d83cd3694a5f5bb02072d77385c587311274e3229e9b2fd5c5af7
7. HTA
• 38b49818bb95108187fb4376e9537084062207f91310cdafcb9e4b7aa0d078f9
8. LNK
• 0eec5a7373b28a991831d9be1e30976ceb057e5b701e732372524f1a50255c7
• 0aa794e54c19dbcd5425405e3678ab9bc98fb7ea787684afb962ee22a1c0ab51
• 762c7289fb016bbcf976bd104bd8da72e17d6d81121a846cd40480dbdd876378
• 0acd4a9ef18f3fd1ccf440879e768089d4dd2107e1ce19d2a17a59ebed8c7f5d
9. SFX
• d21aa84542303ca70b59b53e9de9f092f9001f409158a9d46a5e8ce82ab60fb6
• 659abb39eec218de66e2c1d917b22149ead7b743d3fe968ef840ef22318060fd
• 86549cf9c343d0533ef80be2f080a7e3c38c77a1dfbde0a2f89048127979ec2a
• 2a3da413f9f0554148469ea715f2776ab40e86925fb68cc6279ffc00f4f410dd
10. VBS
• 8aca535047a3a38a57f80a64d9282ace7a33c54336cd08662409352c23507602
• 4e8de351db362c519504509df309c7b58b891baf9cb99a3500b92fe0ef772924
• a10209c10bf373ed682a13dad4ff3aea95f0fdcd48b62168c6441a1c9f06be37
• 39d56eab8adfe9eb244914dde42ec7f12f48836d3ba56c479ab21bdbc41025fe
• 96ab977f8763762af26bad2b6c501185b25916775b4ed2d18ad66b4c38bd5f0d
• e34fc4910458e9378ea357baf045e9c0c21515a0b8818a5b36daceb2af464ea0
• 6f5f265110490158df91ca8ad429a96f8af69ca30b9e3b0d9c11d4fef74091e8

        建議改善措施：

1. 不要隨意點擊來路不明連結和下載檔案。
2. 針對漏洞資訊可以多方查證，如維護廠商、官方網站。
3. 將惡意來源加入防火牆中進行聯防作業。
4. 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。

        情資報告連結：https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine