PicassoLoader JavaScript-variantti

Ghostwriter-niminen uhkaryhmä on yhdistetty uuteen kyberhyökkäysten aaltoon, jotka kohdistuvat Ukrainan valtion organisaatioihin. Ainakin vuodesta 2016 lähtien aktiivinen ryhmä on rakentanut maineen sekä kybervakoilusta että vaikutuskampanjoista Itä-Euroopassa, ja sen operatiivinen painopiste on vahvasti Ukrainassa ja naapurimaissa.

Uhkatoimijaa seurataan myös useilla aliaksilla, kuten FrostyNeighbor, PUSHCHA, Storm-0257, TA445, UAC-0057, Umbral Bison, UNC1151 ja White Lynx. Vuosien varrella ryhmä on jatkuvasti hionut infrastruktuuriaan, hyökkäysketjujaan ja väistömenetelmiään pyrkiessään ohittamaan turvakontrollit ja ylläpitämään pitkän aikavälin operatiivista tehokkuutta.

Jatkuvasti kehittyvä haittaohjelma-arsenaali

Ghostwriter on johdonmukaisesti modernisoinut haittaohjelmaekosysteemiään ja jakelutekniikoitaan. Aiemmat kampanjat perustuivat vahvasti PicassoLoader-haittaohjelmaperheeseen, joka toimi jakelumekanismina lisähyötykuville, kuten Cobalt Strike Beaconille ja njRATille.

Vuoden 2023 lopulla ryhmä laajensi kykyjään hyödyntämällä WinRAR-haavoittuvuutta CVE-2023-38831 levittääkseen PicassoLoaderia ja Cobalt Strikea. Seuraavana vuonna puolalaisista organisaatioista tuli tietojenkalastelukampanjan kohteita, jossa käytettiin hyväksi Roundcuben sivustojenvälistä komentosarjojen läpikäymistä koskevaa haavoittuvuutta, joka tunnistettiin nimellä CVE-2024-42009. Haitallinen toiminta mahdollisti hyökkääjien suorittaa JavaScriptiä, joka kykeni keräämään uhrien sähköpostiosoitteita.

Vaaranneita tilejä käytettiin myöhemmin postilaatikon sisällön tarkastamiseen, yhteystietolistojen varastamiseen ja uusien tietojenkalasteluviestien levittämiseen kesäkuussa 2025. Vuoden 2025 loppuun mennessä ryhmä oli myös integroinut toimintaansa edistyneitä analyysinvastaisia tekniikoita. Tietyt houkutusasiakirjat alkoivat käyttää dynaamista CAPTCHA-vahvistusta aktivoidakseen valikoivasti haitallisen tartuntaketjun ja turhauttaakseen automatisoituja analyysiympäristöjä.

Hienostuneet keihäshuijauskampanjat kohdistuvat Ukrainaan

Maaliskuusta 2026 lähtien tutkijat ovat havainneet uuden kampanjan, joka on suunnattu Ukrainan valtion laitoksiin haitallisia PDF-liitteitä sisältävien keihäshuijaussähköpostien avulla. Houkutteluasiakirjat tekeytyvät ukrainalaisen televiestintäoperaattorin Ukrtelecomin henkilöllisyydeksi näyttääkseen laillisilta ja lisätäkseen uhrien sitoutumista.

Hyökkäysketju perustuu PDF-tiedostoihin upotettuihin linkkeihin, jotka ohjaavat uhrit haitalliseen RAR-arkistoon, joka sisältää JavaScript-pohjaisen hyötykuorman. Suoritettuaan haittaohjelma näyttää houkutustiedoston säilyttääkseen illuusion tiedoston oikeellisuudesta ja käynnistää samalla hiljaa taustalla PicassoLoaderin JavaScript-version. Lataaja ottaa tämän jälkeen käyttöön Cobalt Strike Beaconin vaarantuneissa järjestelmissä.

Geoaitaus ja uhrien validointi parantavat piilotusominaisuuksia

Yksi uusimman kampanjan merkittävimmistä puolista on geoaidan ja kerrostettujen uhrien validointimekanismien käyttöönotto. Ukrainan ulkopuolisista IP-osoitteista yhteyden muodostavat järjestelmät vastaanottavat vaaratonta PDF-sisältöä haitallisen hyötysisällön sijaan, mikä vähentää merkittävästi tutkijoiden ja automatisoitujen skannausjärjestelmien altistumista uhreille.

Haittaohjelma suorittaa myös laajan sormenjälkien tunnistuksen vaarantuneista palvelimista ennen lisähyötykuormien toimittamista. Kerätyt järjestelmätiedot lähetetään hyökkääjän hallitsemalle infrastruktuurille kymmenen minuutin välein, minkä avulla operaattorit voivat manuaalisesti määrittää, onko uhri oikeutettu lisähyökkäyksiin. Vasta tämän validointiprosessin valmistuttua infrastruktuuri toimittaa kolmannen vaiheen JavaScript-dropperin, joka vastaa Cobalt Strike Beaconin asentamisesta.

Operaatio yhdistää automatisoidut suodatusmenetelmät, mukaan lukien käyttäjäagentti- ja IP-pohjaisen varmennuksen, manuaaliseen käyttäjän tarkistukseen, mikä korostaa erittäin kurinalaista ja kypsää hyökkäysmenetelmää.

Alueellinen kohdentamisstrategia laajenee Itä-Eurooppaan

Nykyinen toiminta näyttää keskittyvän pääasiassa sotilas-, puolustus- ja valtiollisiin yksiköihin Ukrainassa. Ghostwriterin Puolassa ja Liettuassa toteuttamat operaatiot osoittavat kuitenkin laajemman kohdistusstrategian, joka ulottuu useille kriittisille sektoreille:

• Teollisuus- ja valmistusorganisaatiot
• Terveydenhuollon ja lääketeollisuuden laitokset
• Logistiikkapalvelujen tarjoajat
• Valtion virastot

Ghostwriterin työkalujen, toimitusmekanismien ja operatiivisten turvallisuuskäytäntöjen jatkuva kehitys korostaa ryhmän sinnikkyyttä ja sopeutumiskykyä. Sen kyky yhdistää räätälöityjä houkutusdokumentteja, valikoivaa hyötykuormien toimitusta, analyysinvastaisia tekniikoita ja manuaalista uhrien validointia osoittaa hienostunutta kybervakoilukykyä, joka on suunniteltu välttämään havaitsemista ja maksimoimaan operatiivinen vaikutus.