Gamaredon mở rộng chiến dịch tấn công Ukraine bằng mã độc mới và lạm dụng dịch vụ đám mây
"ESET reported that the Gamaredon APT expanded its 2025 campaign against Ukraine with 35 spear-phishing operations targeting government and military entities. The group used HTML smuggling, malicious HTA downloaders, and a patched WinRAR flaw (CVE-2025-8088) for persistence, while adding new PowerShell tools and abusing cloud and legitimate web services for C2, dead drops, and exfiltration."
Tác động đáng kể do kết hợp spear-phishing, khai thác CVE-2025-8088 và cơ chế persistence qua Startup, đồng thời mở rộng khả năng ẩn hạ tầng bằng lạm dụng dịch vụ hợp pháp cho C2/exfiltration.
Rủi ro gián đoạn và rò rỉ dữ liệu tăng khi nhắm vào tổ chức nhà nước/quân sự và dùng nhiều kênh trung gian; doanh nghiệp cần tăng giám sát để giảm khả năng bị xâm nhập và thất thoát thông tin.
Theo ESET, nhóm APT Gamaredon tiếp tục mở rộng chiến dịch nhắm vào Ukraine trong năm 2025, tập trung vào các tổ chức chính phủ và quân sự. Đơn vị này ghi nhận 35 chiến dịch spear-phishing nhắm mục tiêu mới, đa số diễn ra ở nửa cuối năm.
Các email/đính kèm thường dùng HTML smuggling thông qua tệp lưu trữ hoặc XHTML để phân phối HTA downloaders. Tải trọng tiếp theo có thể bao gồm PteroSand. Một số chiến dịch cũng khai thác lỗ hổng đã được vá của WinRAR: CVE-2025-8088 để đưa downloader vào thư mục Startup nhằm tự động chạy khi đăng nhập, tạo cơ chế persistence.
ESET cho biết nhóm bổ sung 6 công cụ PowerShell mới (ví dụ PteroDee, PteroCache, PteroEffigy) và tăng mức độ lạm dụng dịch vụ hợp pháp để làm kênh C2, dead drops và exfiltration, gồm Telegra.ph, Dropbox, GoFile, dev.to (DEV Community) và nhiều dịch vụ lưu trữ/ghi chú khác.
Khuyến nghị: rà soát và vá CVE-2025-8088, siết kiểm soát thực thi từ Startup, giám sát hành vi tải HTA/PowerShell bất thường, đồng thời theo dõi lưu lượng đến các dịch vụ đám mây/website hợp pháp theo IOC nội bộ.