#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UNC7005 (STORM-2945) эксплуатировала расширенную инфраструктурную сеть для фишинга с использованием device-code и OAuth, распространения ВПО и кражи учётных данных, нацеленную на пользователей Microsoft и WhatsApp. Инфраструктура имитировала украинские, финские, американские и международные организации; связанные домены, C2-серверы, общие IP-адреса, панели «Mister Shell» и повторно используемые адреса эл. почты регистрации связывали эту активность.
-----

В отчете выявлена дополнительная инфраструктура, связанная с UNC7005, также отслеживаемым как STORM-2945, — злоумышленником, который занимается фишингом с использованием кодов устройств, OAuth-фишингом и распространением ВПО в отношении учетных записей Microsoft и WhatsApp. Сообщается, что жертвами стали представители академической среды, дипломатического корпуса и НПО в Украине, Западной Европе и Соединенных Штатах. Данная активность считается отдельной от кампании Microsoft CaptiveCrunch, в ходе которой использовались скомпрометированные captive-порталы и инфраструктура маршрутизаторов, однако кампании были связаны через общую инфраструктуру. В частности, IP-адрес 104.194.159.150 резолвился как на домен ms365-live.com, стилизованный под Microsoft, так и на домен my-invite.org, используемый для фишинга с кодами устройств.

Новая выявленная инфраструктура использовала домены, маскирующиеся под WhatsApp, украинские организации, финскую оборонную консалтинговую компанию, Американскую торгово-промышленную палату в Украине и другие организации. В число доменов входили wa-connect.eu, mslivetest.duckdns.org, shopinvite.org, wa-invite.com, wa-device.net, wa-device.com, wa-meeting.com, chamber-ua.org, ukrinform-share.net, antac.org, trident-solutions.org и chathamhouse.eu. Ряд из них хостил страницы фишинга для кражи учетных данных или имитации корпоративных порталов. Например, chamber-ua.org представлял собой якобы частный сайт Американской торгово-промышленной палаты в Украине, запрашивающий учетные данные, в то время как ukrinform-share.net хостил практически идентичный портал, имитирующий Национальное информационное агентство Украины. Домен docs-viewer.org предоставлял страницу с тематикой просмотра PDF-файлов, визуально схожую с другими посадочными страницами кампании.

Домен statistic-ms.live был идентифицирован как инфраструктура управления (command-and-control) и в прошлом резолвился на несколько IP-адресов, включая 144.172.114.192. Среди связанных хостов также числились mslivetest.duckdns.org и wa-connect.eu. На нескольких IP-адресах размещались подозрительные файлы, взаимодействовавшие с ними, и был обнаружен характерная C2-панель «Mister Shell», что указывает на возможное использование UNC7005 данной панели или связанных с ней компонентов. Дополнительные пересечения в хостинге и история резолвинга доменов связали домены, связанные с WhatsApp, в том числе wa-device.net, с кампанией.

Актор повторно использовал адреса эл. почты в записях регистрации доменов и записях SOA, в том числе ricardopayne226@gmail.com, amipiqokuw980@gmail.com и kapukec366@gmail.com. В целом, в ходе исследования было добавлено восемь доменов, несколько IP-адресов C2 и фишинга, семь связанных адресов эл. почты, а также инфраструктура, имитирующая четыре дополнительные организации-жертвы.