PLUGGYAPE-skadevare

Ukrainas IT-beredskapsteam (CERT-UA) har avslørt en ny bølge av cyberoperasjoner rettet mot nasjonale forsvarsenheter. Disse angrepene, observert mellom oktober og desember 2025, involverer en tidligere udokumentert variant av skadelig programvare kalt PLUGGYAPE. Kampanjen fremhever en kontinuerlig utvikling i både sosial manipulering og teknisk raffinement rettet mot ukrainske mål.

Attribusjon og trusselaktørprofil

Aktiviteten har med middels sikkerhet blitt knyttet til en russisk-alliert hackergruppe kjent som Void Blizzard, også referert til som Laundry Bear eller UAC-0190. Etterretningsvurderinger indikerer at gruppen har vært aktiv siden minst april 2024. Deres nylige operasjoner viser en fokusert interesse for militære og forsvarsrelaterte miljøer.

Sosial manipulering i kjernen av initial tilgang

Infeksjonskjeden starter ikke med utnyttelser, men med bedrag. Trusselaktører tar kontakt gjennom allment pålitelige direktemeldingsplattformer som Signal og WhatsApp. De utgir seg for å være representanter for veldedige organisasjoner og overtaler ofrene til å åpne lenker som fører til falske humanitære nettsteder, inkludert domener som harthulp-ua.com og solidarity-help.org. Disse nettstedene utgir seg for å være legitime stiftelser og er vert for passordbeskyttede arkiver som inneholder den skadelige nyttelasten.

Angriperne er i økende grad avhengige av kompromitterte eller overbevisende forberedte kontoer knyttet til ukrainske mobiloperatører. Kommunikasjonen foregår på ukrainsk og kan inkludere tale- eller videosamtaler. I mange tilfeller viser angriperen detaljert kjennskap til offerets bakgrunn, organisasjon og operative kontekst, noe som øker suksessen til sosial manipulering-innsatsen betydelig.

Inne i PLUGGYAPE: Skadevarefunksjoner og utvikling

De nedlastede arkivene distribuerer en kjørbar fil bygget med PyInstaller, som installerer PLUGGYAPE-bakdøren. Skadevaren, som er skrevet i Python, lar operatører kjøre vilkårlig kode eksternt på infiserte systemer. Over tid har nyere varianter innlemmet sterkere obfuskeringsteknikker og antianalysemekanismer som er utformet for å forhindre kjøring i virtualiserte eller forskningsmiljøer.

PLUGGYAPE kommuniserer med operatørene sine ved hjelp av WebSocket-tilkoblinger, og fra desember 2025 støtter den også MQTT-protokollen, noe som utvider fleksibiliteten og robustheten. Denne kommunikasjonskanalen gir vedvarende kontroll over kompromitterte verter og forenkler rask oppgaveutførelse for angriperne.

Kommando- og kontrollrobusthet og operasjonell sikkerhet

I stedet for å legge inn kontrollserveradresser direkte i skadevaren, henter operatørene kommando-og-kontroll-endepunkter fra offentlige innsettingstjenester som rentry.co og pastebin.com. Disse adressene lagres i base64-kodet form, slik at angriperne raskt kan endre infrastruktur uten å måtte distribuere skadevaren på nytt. Denne tilnærmingen kompliserer fjerningsarbeidet og forbedrer driftskontinuiteten hvis kjente servere oppdages og forstyrres.

Et bredere skifte mot budbringerbasert trussellevering

CERT-UA understreker at populære meldingsapplikasjoner på både mobile enheter og personlige datamaskiner raskt blir primære kanaler for distribusjon av cybertrusler. Deres allestedsnærvær, kombinert med brukertillit og sanntidsinteraksjon, gjør dem til spesielt effektive plattformer for å levere ondsinnede verktøy og manipulere ofre.