O grupo APT Ghostwriter, também conhecido como UAC-0057 e UNC1151, retomou suas atividades com uma campanha de phishing direcionada a agências governamentais ucranianas. A isca utilizada desta vez é a plataforma de aprendizado online Prometheus, legítima e amplamente utilizada por funcionários governamentais. A campanha envolve emails de phishing que entregam malware e cargas de Cobalt Strike.
Detalhes Técnicos
Grupo: Ghostwriter (UAC-0057, UNC1151)
Origem: Bielorrússia
Método de Ataque: Phishing com emails que oferecem acesso a cursos na plataforma Prometheus
Malware: Cobalt Strike, uma ferramenta de acesso remoto que permite simular ataques direcionados e emular ações pós-explotação de atores de ameaças avançados
Táticas, Técnicas e Procedimentos (TTPs):
T1566.001: Spearphishing Attachment
T1204: User Execution
Objetivos: Agências governamentais ucranianas
Relevância para Threat Intelligence
O retorno do Ghostwriter e sua mudança para usar uma plataforma de aprendizado online legítima como isca indica uma evolução nas táticas do grupo para aumentar a eficácia de suas campanhas de phishing. Isso ressalta a importância de monitorar as plataformas de confiança usadas pelos funcionários governamentais e de implementar medidas robustas de segurança cibernética.
