Хакери з росії атакують українців активатором Windows KMS та підробленими оновленнями

Кібершпигунська група Sandworm з росії націлена на українських користувачів Windows. Вона розповсюджує трояни в активаторах KMS та фейкових оновленнях

Ці атаки, ймовірно, почалися наприкінці 2023 року. Аналітики EclecticIQ пов’язують їх з хакерами Sandworm за ознаками дублювання інфраструктури, узгоджених тактик, методів та процедур, а також частого використання облікових записів ProtonMail для реєстрації доменів, які служать для атак.

Зловмисники також користувалися завантажувачем BACKORDER для розгортання зловмисного програмного забезпечення DarkCrystal RAT (DcRAT) та «символами, що посилаються на російськомовне середовище збірки».

EclecticIQ виявив сім кампаній розповсюдження зловмисного програмного забезпечення, пов’язаних з тим самим кластером зловмисної активності, кожна з яких використовує схожі приманки та процедури. 12 січня 2025 року аналітики спостерігали зараження жертв трояном віддаленого доступу DcRAT під час атак з викраденням даних із використанням домену з помилками.

Після розгортання на пристрої жертви фальшивий інструмент активації KMS відтворює фальшивий інтерфейс активації Windows, встановлює завантажувач зловмисного програмного забезпечення та вимикає Windows Defender у фоновому режимі, після чого завантажується головне ПЗ RAT.

Кінцевою метою атак є збір конфіденційної інформації з інфікованих комп’ютерів та її передавання на контрольовані зловмисниками сервери. Зловмисне програмне забезпечення зберігає натискання клавіш, файли cookie браузера, історію браузера, збережені облікові дані, паролі FTP, системну інформацію та знімки екрана.

Використання Sandworm зловмисних активаторів Windows, ймовірно, було спричинене величезним потенціалом для атак через інтенсивне використання піратського програмного забезпечення в Україні, навіть в урядовому секторі.

Sandworm (також відома як UAC-0113, APT44 і Seashell Blizzard) — хакерська група, яка діє принаймні з 2009 року та входить до складу військової частини 74455 головного розвідувального управління (ГРУ), російської військової розвідки. Звіт EclecticIQ включає детальний аналіз атак та роботи ПЗ.

Джерело: BleepingComputer