UAC-0099 nhắm vào cơ quan Ukraine bằng mã độc ASHVEIN
"UAC-0099, a Russia-aligned threat actor, was observed targeting Ukrainian government personnel with the previously undocumented .NET malware ASHVEIN (TelemetryBrowser), a RAT and infostealer that steals browser credentials, captures screenshots, enumerates files, and executes remote PowerShell commands. The malware hides tasking in invisible HTML elements and is delivered via DLL sideloading, VHD containers, and .NET droppers; no CVE is mentioned, and the article describes detection and attribution rather than a software fix."
Đây là chiến dịch gián điệp mạng có khả năng đánh cắp tài khoản và điều khiển từ xa hệ thống mục tiêu. Việc ẩn lệnh trong HTML và dùng nhiều cơ chế phát tán làm tăng độ khó phát hiện.
Có thể gây rò rỉ dữ liệu nhạy cảm, ảnh hưởng tính liên tục vận hành và làm tăng chi phí điều tra, ứng phó sự cố. Các cơ quan và đơn vị có liên quan đến Ukraine cần ưu tiên kiểm tra email, tài liệu đính kèm và chuỗi thực thi bất thường.
Nhóm đe doạ UAC-0099 được cho là đã sử dụng ASHVEIN — một .NET RAT và infostealer chưa từng được công bố trước đó — trong các chiến dịch nhắm vào nhân sự chính phủ Ukraine. Mã độc này có khả năng lấy cắp thông tin đăng nhập trình duyệt, chụp ảnh màn hình, liệt kê và thu thập tệp tin, thực thi PowerShell từ xa và gửi dữ liệu qua kênh C2 mã hoá.
Theo phân tích, ASHVEIN còn ẩn lệnh trong các phần tử HTML vô hình, đồng thời được phát tán bằng nhiều cách như DLL sideloading, VHD containers và các .NET droppers chuyên dụng. Một số biến thể dùng cơ chế GitHub-based dead drop resolver làm phương án dự phòng. Nhóm này cũng được ghi nhận đã mở rộng bộ công cụ, chuyển dần từ các thành phần dựa trên PowerShell/Go sang các binary C# và .NET được bảo vệ bằng .NET Reactor.
Về mặt phòng thủ, các tổ chức nên tăng cường giám sát hành vi tải DLL bất thường, kiểm tra tệp VHD và script .NET/VBScript đáng ngờ, đồng thời theo dõi các dấu hiệu đánh cắp thông tin xác thực và kết nối C2. Việc huấn luyện người dùng nhận diện tài liệu mồi nhử và xác minh nguồn gửi cũng là biện pháp cần thiết.