#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете моделируются кампании в стиле Muddy Water, использующие целевой фишинг и скомпрометированные учетные записи эл. почты для доставки документов Office с макросами. Макросы загружают и запускают кастомные импланты, включая бэкдоры на базе Rust, которые используют Bot API Телеграм для шифрованного управления, выполнения команд и эксфильтрации результатов.
-----

В отчете описана имитация действий противника, смоделированная по образцу активности Muddy Water, направленная против государственных, военных, морских, авиационных, финансовых организаций и объектов критической инфраструктуры на Ближнем Востоке и в других регионах. Имитируемые кампании, в том числе «Operation Olalampo», используют отраслевые фишинговые темы и доверительные отношения. Приманки включают размытые инженерные документы, финансовые записи с реалистичными транзакциями и упоминаниями зарплатных выплат в ОАЭ, дипломатическую переписку и приглашения на геополитические мероприятия. В рамках моделирования также рассматривается злоупотребление скомпрометированными учетными записями эл. почты государственных и корпоративных организаций для распространения вредоносных документов и обхода средств защиты электронной почты.

Доставка начальной полезной нагрузки осуществляется с помощью документов Microsoft Office, содержащих обфусцированные макросы VBA. При активации макрос декодирует шестнадцатеричный путь к файлу и проверяет, присутствует ли полезная нагрузка уже на диске. Если она отсутствует, макрос декодирует встроенный URL и с помощью объекта `WinHttp.WinHttpRequest` загружает исполняемый файл по протоколу HTTP/S, записывает его на диск в двоичном виде и запускает. Попытка выполнения осуществляется как через функцию `Shell` в VBA с использованием Скрытого окна, так и через Windows Script Host, что обеспечивает резервные методы выполнения и снижает необходимость в дополнительном взаимодействии со стороны пользователя.

Симулируемый имплант использует Телеграм для управления, а не выделенный сервер. Он опрашивает Telegram Bot API по протоколу HTTPS через API WinHTTP в Windows, разбирает обновления в формате JSON, обрабатывает команды оператора и возвращает результаты выполнения через тот же канал. Агент поддерживает реконструкцию команд и разбивает ответы, превышающие примерно 4 000 символов, чтобы оставаться в пределах лимита на 4 096 символов для сообщений в Телеграм. Аутентификация основана на токене бота, при этом соответствующий фреймворк управления может использовать учетные данные Telegram API и библиотеку Telethon с коммуникациями по протоколу MTProto.

В отчёте также упоминаются подходы к разработке на основе Rust и с использованием искусственного интеллекта для быстрого создания кастомных имплантов, включая бэкдор BlackBeard, а также коммуникации на основе кодов состояния HTTP и кастомных UDP-сообщений. После компиляции исполняемый файл размещается на внешнем сервисе хостинга файлов и загружается макросом. Полученная архитектура обеспечивает поэтапную доставку, закрепление посредством повторного выполнения макроса, удалённое выполнение команд и управление на этапе постэксплуатации через облачную платформу обмена сообщениями.