AGEWHEEZE RAT

Analitičari kibernetičke sigurnosti otkrili su ciljanu phishing operaciju u kojoj su se akteri prijetnji predstavljali kao Ukrajinski tim za odgovor na računalne hitne slučajeve kako bi distribuirali alat za daljinsku administraciju poznat kao AGEWHEEZE. Kampanja, pripisana grupi UAC-0255, oslanjala se na obmanjujuće e-poruke poslane 26. i 27. ožujka 2026., u kojima se primatelji pozivaju na instaliranje onoga što je opisano kao "specijalizirani softver".

Ove e-poruke sadržavale su poveznice na ZIP arhivu zaštićenu lozinkom koja se nalazi na Files.fm-u. Arhiva, nazvana CERT_UA_protection_tool.zip, predstavljena je kao legitimni sigurnosni uslužni program, ali je umjesto toga isporučivala zlonamjerne sadržaje. Neke su poruke poticale s lažne adrese 'incidents@cert-ua.tech', što je dodatno pojačalo iluziju autentičnosti.

Profil cilja i domet napada

Operacija je bacila široku mrežu, ciljajući raznolik raspon organizacija ključnih za nacionalnu infrastrukturu i javne usluge. To je uključivalo:

• Vlada i državne institucije
• Medicinske i zdravstvene ustanove
• Tvrtke povezane sa sigurnošću i obranom
• Obrazovne organizacije
• Financijske institucije
• Tvrtke za razvoj softvera

Unatoč širokoj strategiji ciljanja, ukupna učinkovitost kampanje čini se ograničenom. Potvrđen je samo mali broj zaraženih, prvenstveno na osobnim uređajima zaposlenika u obrazovnim ustanovama.

Unutar AGEWHEEZE-a: Sposobnosti i mehanizmi ustrajnosti

AGEWHEEZE je trojanac za daljinski pristup temeljen na Gou, dizajniran za opsežnu kontrolu i nadzor sustava. Nakon postavljanja, uspostavlja komunikaciju s poslužiteljem za upravljanje i kontrolu na adresi 54.36.237.92 koristeći WebSocket protokole.

Zlonamjerni softver omogućuje napadačima izvođenje širokog spektra zlonamjernih aktivnosti, uključujući:

• Izvršavanje proizvoljnih naredbi i upravljanje sistemskim procesima
• Obavljanje operacija s datotekama i manipuliranje pohranjenim podacima
• Snimanje zaslona i praćenje aktivnosti korisnika
• Emulacija unosa mišem i tipkovnicom
• Mijenjanje sadržaja međuspremnika

Ova kombinacija značajki čini AGEWHEEZE svestranim alatom za špijunažu, lateralno kretanje i dugoročno kompromitiranje sustava.

Obmanjujuća infrastruktura i izrada uz pomoć umjetne inteligencije

Istraga lažne domene 'cert-ua.tech' otkrila je pokazatelje automatiziranog ili umjetno potpomognutog razvoja. HTML izvorni kod web stranice sadržavao je značajan komentar na ruskom: 'S ljubavlju, КИБЕР СЕРП' ('S ljubavlju, CYBER SERP'), što sugerira pripisivanje grupi koja sebe naziva Cyber Serp.

Cyber Serp je putem svog Telegram kanala, koji je osnovan u studenom 2025. i koji je prikupio preko 700 pretplatnika, tvrdio da je povezan s ukrajinskim cyber-podzemnim krugovima. Grupa je javno tvrdila da je phishing kampanja ciljala do milijun e-mail računa i rezultirala s preko 200 000 kompromitiranih uređaja, što su brojke koje znatno premašuju neovisne procjene.

Sukobljene tvrdnje i šira aktivnost prijetnji

Cyber Serp se pokušao pozicionirati kao selektivan akter, tvrdeći da obični građani neće biti pogođeni njegovim djelovanjem. Međutim, takve izjave nisu u skladu s neselektivnom prirodom velikih phishing kampanja.

U zasebnom incidentu, grupa je preuzela odgovornost za probijanje Ciphera, tvrdeći da je imala pristup podacima poslužitelja, bazama podataka klijenata i vlasničkom izvornom kodu. Cipher je kasnije potvrdio ograničeno kompromitiranje koje uključuje vjerodajnice zaposlenika, ali je naglasio da:

• Osnovna infrastruktura ostala je sigurna i operativna
• Pogođeni račun imao je pristup samo jednom, neosjetljivom projektu

Ova neskladnost naglašava uobičajenu taktiku među akterima prijetnji, preuveličavanje utjecaja kako bi se pojačao percipirani utjecaj i kredibilitet.

Procjena i sigurnosne implikacije

Kampanja pokazuje kontinuiranu učinkovitost taktika lažnog predstavljanja, posebno kada se koriste pouzdani nacionalni subjekti za kibernetičku sigurnost. Iako je neposredni utjecaj bio ograničen, tehnička sofisticiranost AGEWHEEZE-a i opseg pokušaja distribucije signaliziraju trajnu i promjenjivu prijetnju.

Organizacijama se savjetuje da pojačaju procese provjere e-pošte, provjere neželjene priloge i educiraju osoblje o prepoznavanju pokušaja lažnog predstavljanja u koje su uključene autoritativne institucije.