#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В период с января по апрель 2026 года в ходе операции Spring Ring злоумышленники выдавали себя за сотрудников корпоративной ИТ-службы, используя внешние аккаунты Microsoft Teams, чтобы посредством социальной инженерии побудить сотрудников установить инструменты удаленного управления или выполнить команды. Атакующие развернули PowerShell RAT и облачное ВПО, пытались отключить AMSI, сканировали внутренние сети, генерировали трафик аутентификации NTLM и использовали PetitPotam для реализации атак NTLM relay и получения доступа на уровне домена.
-----

В период с января по апрель 2026 года в ходе операции Spring Ring злоумышленники использовали внешние учетные записи Microsoft Teams для имперсонации сотрудников корпоративных служб технической поддержки и нацелились более чем на 150 сотрудников как минимум 10 организаций. Атакующие создавали личные чаты (один на один) от имени внешних арендаторов Microsoft 365, часто используя доменные имена, содержащие такие термины, как «internal» (внутренний), «certified» (сертифицированный), «network» (сеть) или «infrastructure» (инфраструктура). Они применяли профессиональные отображаемые имена, связанные с тематикой технической поддержки, и часто подключались через коммерческие VPN-сервисы. После установления контакта злоумышленники оперативно совершали нежелательные голосовые вызовы, используя социальную инженерию в реальном времени, чтобы убедить жертв установить программное обеспечение или выполнить команды.

В рамках кампании Campaign A злоумышленники инструктировали жертв запускать легитимные инструменты удаленного мониторинга и управления, включая Windows Quick Assist или стороннее программное обеспечение RMM, тем самым обеспечивая себе удаленный контроль. После оценки системы жертвы они использовали PowerShell для загрузки замаскированной троянской программы удаленного доступа на базе PowerShell с домена san-sid.com, контролируемого злоумышленниками. ВПО применяла манипуляции с переменными, арифметическое маскирование и код для противодействия анализу. Ее базовый полезный груз представлял собой небольшой модуль управления, который пытался отключить интерфейс сканирования антивирусных решений (Antimalware Scan Interface), установив флаг `amsiInitFailed`, проверял обход с помощью тестового сканирования, шифровал данные хоста и связывался с тем же доменом для получения и выполнения дополнительных полезных грузов.

Кампания B использовала более кастомную облачную цепочку выполнения. ВПО копировала себя в каталог Windows Temp и создавала исполняемые варианты, такие как `vhlp-*.exe` и `scnr-*.exe`, для закрепления. Она запускала скрытый процесс Microsoft Edge без пользовательского интерфейса и внедряла вредоносное расширение браузера. Встроенный исполняемый файл Python, расположенный по пути `C:\ProgramData\IntegrityData\python.exe`, инициировал активность по перемещению внутри компании, включая сканирование SMB по порту 445 и генерацию трафика аутентификации NTLM в адрес внутренних систем.

Затем злоумышленники попытались использовать PetitPotam, чтобы принудить контроллер домена организации пройти аутентификацию на системе, контролируемой атакующими. Последовавшая за этим атака ретрансляции NTLM была направлена на получение привилегий на уровне домена. Наблюдаемые индикаторы включали быстрые переходы от чата к звонку, многократное нацеливание на нескольких пользователей, несанкционированное выполнение RMM, а также доступ к URL-адресам неизвестных сервисов облачного хранилища или файлообменников. В ходе активности не было использовано уязвимость Microsoft Teams; злоумышленники злоупотребляли внешними идентификаторами для совместной работы и доверием пользователей для доставки ВПО и содействия принуждению к аутентификации.