Лицеум АПТ
Имена Лицеум и Хекане су ознаке инфосец-а за исту групу хакера за напредну трајну претњу (АПТ). Криминалци су успели да делују испод радара скоро годину дана пре него што су њихове активности извучене на површину у августу 2019. Лицеј је високо специјализована претња која се фокусира на прикупљање акредитива и ексфилтрацију података. Њихов циљ је веома уска група организација које се налазе у једном специфичном географском региону - нафтни, гасни и телекомуникациони субјекти који су активни на Блиском истоку.
Лицеј користи сложени ланац напада на одабрану жртву који се састоји од више фаза. Да би стекли упориште у мрежи мете, хакери користе различите тактике друштвеног инжењеринга да испоруче затроване Мицрософт Оффице документе. Неки од докумената за које су истраживачи сајбер безбедности приметили да их користи Лицеј имају примамљиве наслове или оне који изазивају радозналост корисника, као што су „Најгоре лозинке 2017.“ или „Десет најбољих безбедносних пракси“. У другим случајевима, документ је у потпуности написан на арапском, што потврђује континуирани фокус групе на регион.
Ако корисник изврши затровану датотеку, она покреће избацивач малвера под називом ДанДроп, који је одговоран за испоруку стварног садржаја злонамерног софтвера у другој фази напада. ДанДроп се убацује у МС документе као ВБА макро. За крајњу тачку напада, Лицеум користи тројанац за даљински приступ (РАТ) под називом ДанБот . За комуникацију са својим серверима за команду и контролу (Ц2, Ц&Ц), види се да РАТ малвер користи и ДНС и ХТТП протоколе.
Да би проширио опсег свог домета унутар угрожене мреже, Лицеум може да примени три додатна алата у облику ПоверСхелл скрипти – „кл.пс1“ је прилагођени кеилоггер, „Гет-ЛАПСП.пс1 “ користи ЛДАП за прикупљање података са Ацтиве Дирецтори и „ Децрипт-РДЦМан.пс1 “, који има задатак да дешифрује акредитиве ускладиштене у РДЦМан конфигурационој датотеци.
Иако су њихове активности до сада биле ограничене на одређени регион, хакери из Лицеума су успоставили ланац напада и ефикасан скуп алата, који би им могли омогућити да лако покрену нападе на шири скуп ентитета.
