APT-группа Stealth Falcon использует уязвимость нулевого дня CVE-2025-33053 в масштабной атаке на Ближнем Востоке и в Африке
Исследовательская компания Check Point Research (CPR) выявила новую киберкампанию, осуществляемую APT-группой Stealth Falcon, которая эксплуатирует уязвимость нулевого дня CVE-2025-33053. Эта уязвимость позволяет злоумышленникам выполнять удалённый код с помощью манипуляций с рабочим каталогом, что значительно облегчает проникновение и длительное присутствие в сетях целей.
Цели и метод атаки
Основными жертвами атаки стали организации правительственного и оборонного секторов на Ближнем Востоке и в Африке. Злоумышленники использовали типовую для современных кибершпионских кампаний схему — отправку фишинговых e-mail с вложенным URL-файлом. Этот файл, при активации, загружал вредоносный загрузчик с контролируемого злоумышленниками сервера WebDAV.
- Загрузчик запускался при помощи легитимного средства Windows, что обеспечивало ему невидимость для большинства средств защиты;
- Он представлял собой многоэтапный компонент с использованием технологии Code Virtualizer, усложняющей обратное проектирование и анализ вредоносного кода;
- Имел уникальные функции, включая ручное сопоставление системных библиотек Windows и сканирование на наличие запущенных антивирусных процессов.
Полезная нагрузка и технические особенности
В конечном итоге атаки внедрялась платформа Horus Agent — специализированный имплантат для Mythic Command and Control (C2), а также ряд дополнительных модулей, таких как:
- клавиатурные шпионы;
- пассивные бэкдоры;
- устройства для сброса учетных данных.
Horus Agent функционирует как бэкдор, который защищает собственный код с помощью:
- шифрования строк;
- сглаживания потока управления (control flow flattening);
- хеширования вызовов API;
- динамического преобразования функций, что значительно затрудняет статический анализ.
Для связи с сервером C2 агент использует зашифрованные сообщения с контролем целостности данных при помощи HMAC-SHA256. Во время командного цикла Horus Agent способен:
- собирать детальную информацию о пользователях, процессах и сетевых конфигурациях;
- выполнять шелл-код с применением сложных пользовательских методов внедрения.
Эволюция методов и инфраструктуры Stealth Falcon
Операции группы Stealth Falcon демонстрируют значительную техническую изощренность и постоянное развитие инструментов и тактик. Ключевые элементы их подхода включают:
- использование многоступенчатых загрузчиков, усложняющих обнаружение;
- применение LOLBins — легитимных бинарных файлов для обхода средств защиты;
- активное использование методов обфускации и приобретение устаревших, но легитимных доменов для маскировки инфраструктуры заражения;
- стратегическое применение уязвимостей нулевого дня для закрепления в сети и обеспечения незаметной работы.
_Как отмечают эксперты CPR_, «использование CVE-2025-33053 демонстрирует способность Stealth Falcon быстро адаптироваться и внедрять передовые технологии для обхода современных систем безопасности».
Выводы
Киберкампания Stealth Falcon — яркий пример целевой операции в области кибершпионажа с применением продвинутых технических средств и сложных схем внедрения. Их методы отражают долгосрочную ориентацию на государственные структуры и оборонные объекты, а также готовность эффективно противостоять современным контрмерам и средствам защиты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Stealth Falcon: использование CVE-2025-33053 для продвинутых кибершпионских атак".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.