Группировка ExCobalt использует новый инструмент GoRed

❕ Группировка ExCobalt использует новый инструмент GoRed

В ходе реагирования на инцидент у нашего клиента на одном из Linux-узлов мы обнаружили файл с названием scrond, «накрытый» UPX (Ultimate Packer for eXecutables).

Файл оказался бэкдором, написанным на языке Go и по своим функциям напоминающим компоненты фреймворков Sliver и Cobalt Strike. Распаковав его, мы нашли пути к пакетам, содержащие подстроку:

red.team/go-red/

Она тонко намекает на название инструмента (GoRed) и его создателей в лице red[.]team. Предположительно, у них есть сайт, который больше напоминает визитку, чем что-то значимое и относящееся к атаке. По нашим данным, инструмент активно дорабатывается по меньшей мере с 2023 года: при реагировании на один из прошлых инцидентов мы встретили версию 0.0.1 (сейчас — 0.1.4).

В процессе дальнейшего исследования мы убедились, что инструмент используется группой ExCobalt: есть инфраструктурные пересечения с индикаторами, которые описаны в нашем предыдущем отчете.

💡 Что это за группировка

ExCobalt — киберпреступная группа, сосредоточенная на шпионаже. Некоторые ее члены активны как минимум с 2016 года и, предположительно, состояли в небезызвестной группе Cobalt.

Cobalt атаковала кредитно-финансовые организации с целью кражи денежных средств. Отличительной особенностью группировки было использование инструмента CobInt, который в 2022 году в некоторых атаках начала применять и ExCobalt.

🎯 На кого нацелены атаки

За последний год специалисты PT ESC фиксировали атаки и расследовали инциденты, связанные с группой ExCobalt, в российских организациях из следующих отраслей экономики:

• Металлургия
• Телекоммуникации
• Горная промышленность
• Информационные технологии
• Государственные учреждения
• Разработка ПО

Полное техническое описание инструмента GoRed, а также индикаторы компрометации можно найти на нашем сайте.

#APT
@ptescalator