Grupa APT28 po raz kolejny atakuje cele w Europie. Zamiast skomplikowanego malware i wyszukanych eksploitów stosują makra, przeglądarkę Edge i webhooki jako serwer C2

TL;DR

Rosyjska grupa APT28 (BlueDelta, Fancy Bear) znów uderza w cele rządowe i dyplomatyczne w Europie, ale zamiast wyrafinowanych exploitów sięga po zestaw banalnie prostych narzędzi: dokument Word z makrem, przeglądarkę Microsoft Edge i webhook.site jako serwer C2. Po włączeniu makra w tle odpalają się skrypty VBScript i pliki wsadowe, a użytkownik widzi tylko fałszywy komunikat błędu Worda - w tym czasie złośliwy kod nawiązuje ukrytą sesję msedge.exe i wymienia polecenia przez zwykłe żądania POST do popularnego serwisu do logowania webhooków.

Cała infrastruktura chowa się za komercyjnym VPN-em, a częstotliwość połączeń rośnie z ponad godziny do 5 minut, gdy ofiara okazuje się wartościowym celem. To dobry przykład na to, że najgroźniejsze ataki APT wcale nie muszą być technicznie wyrafinowane - wystarczy dobrze zaprojektowany phishing i chwila nieuwagi przy włączaniu makr.