AGEWHEEZE råtta

Cybersäkerhetsanalytiker har avslöjat en riktad nätfiskeoperation där hotaktörer utgav sig för att vara Ukrainas datorns nödhjälpsteam för att distribuera ett fjärradministrationsverktyg som kallas AGEWHEEZE. Kampanjen, som tillskrivs gruppen UAC-0255, förlitade sig på vilseledande e-postmeddelanden som skickades den 26 och 27 mars 2026 och uppmanade mottagarna att installera vad som beskrevs som "specialiserad programvara".

Dessa e-postmeddelanden innehöll länkar till ett lösenordsskyddat ZIP-arkiv som lagrades på Files.fm. Arkivet, med namnet CERT_UA_protection_tool.zip, presenterades som ett legitimt säkerhetsverktyg men levererade istället skadliga nyttolaster. Vissa meddelanden kom från den förfalskade adressen 'incidents@cert-ua.tech', vilket ytterligare förstärkte illusionen av äkthet.

Målprofil och attackräckvidd

Operationen spred ett brett nät och riktade sig mot en mängd olika organisationer som är avgörande för nationell infrastruktur och offentliga tjänster. Dessa inkluderade:

• Statliga och statliga institutioner
• Medicinska och hälsovårdsinrättningar
• Säkerhets- och försvarsrelaterade företag
• Utbildningsorganisationer
• Finansinstitut
• Programvaruutvecklingsföretag

Trots den breda målgruppsstrategin verkar kampanjens övergripande effektivitet begränsad. Endast ett litet antal infektioner bekräftades, främst drabbade personliga enheter för anställda inom utbildningsinstitutioner.

Inuti AGEWHEEZE: Förmågor och persistensmekanismer

AGEWHEEZE är en Go-baserad fjärråtkomsttrojan konstruerad för omfattande systemkontroll och övervakning. När den väl är installerad upprättar den kommunikation med en kommando- och kontrollserver på 54.36.237.92 med hjälp av WebSocket-protokoll.

Skadlig programvara gör det möjligt för angripare att utföra ett brett spektrum av skadliga aktiviteter, inklusive:

• Utföra godtyckliga kommandon och hantera systemprocesser
• Utföra filoperationer och manipulera lagrad data
• Ta skärmdumpar och övervaka användaraktivitet
• Emulera mus- och tangentbordsinmatningar
• Ändra innehållet i urklippet
• Bibehålla beständighet via schemalagda uppgifter, ändringar i Windows-registret eller placering i startkatalogen

Denna kombination av funktioner gör AGEWHEEZE till ett mångsidigt verktyg för spionage, lateral förflyttning och långsiktig systemkompromiss.

Bedräglig infrastruktur och AI-assisterad tillverkning

En utredning av den bedrägliga domänen 'cert-ua.tech' avslöjade tecken på automatiserad eller AI-assisterad utveckling. Webbplatsens HTML-källkod innehöll en anmärkningsvärd kommentar på ryska: 'С Любовью, КИБЕР СЕРП' ('Med kärlek, CYBER SERP'), vilket tyder på att den tillskrivs en grupp som kallar sig Cyber Serp.

Cyber Serp har påstått sig ha kopplingar till ukrainska cyber-undergroundkretsar via sin Telegram-kanal, som etablerades i november 2025 och har över 700 prenumeranter. Gruppen hävdade offentligt att nätfiskekampanjen riktade sig mot upp till en miljon e-postkonton och resulterade i över 200 000 komprometterade enheter, siffror som avsevärt överstiger oberoende bedömningar.

Motstridiga påståenden och bredare hotaktivitet

Cyber Serp har försökt positionera sig som en selektiv aktör och hävdat att vanliga medborgare inte skulle påverkas av dess verksamhet. Sådana uttalanden är dock oförenliga med den urskillningslösa karaktären hos storskaliga nätfiskekampanjer.

I en separat incident tog gruppen på sig ansvaret för att ha intrångat i Cipher och påstod sig ha haft åtkomst till serverdata, klientdatabaser och proprietär källkod. Cipher bekräftade senare en begränsad intrångsattack som involverade en anställds inloggningsuppgifter men betonade att:

• Kärninfrastrukturen förblev säker och operativ
• Det berörda kontot hade endast åtkomst till ett enda, icke-känsligt projekt

Denna skillnad belyser en vanlig taktik bland hotaktörer, att överdriva påverkan för att förstärka upplevt inflytande och trovärdighet.

Bedömning och säkerhetskonsekvenser

Kampanjen visar den fortsatta effektiviteten av taktiker för personifiering, särskilt när man utnyttjar betrodda nationella cybersäkerhetsenheter. Även om den omedelbara effekten begränsades, signalerar AGEWHEEZE:s tekniska sofistikering och omfattningen av de försökta spridningarna ett ihållande och föränderligt hotlandskap.

Organisationer rekommenderas att förstärka processerna för e-postverifiering, granska oönskade bilagor och utbilda personal i hur man känner igen försök till identitetsstöld som involverar auktoritativa institutioner.