EAGLET реализует сбор системной информации и устанавливает соединения с жестко запрограммированным удаленным сервером («185.225.17[.]104»), а после получения HTTP-ответа - выполняет на скомпрометированной машине Windows команды.
EAGLET поддерживает доступ к оболочке и возможность загрузки/выгрузки файлов, состав полезных нагрузок следующего этапа неизвестен, сервер C2 к моменту исследования - в автономном режиме.
Исследователи Seqrite заявляют, что также обнаружили схожие кампании в отношении российского ВПК с использованием EAGLET (аналогичны исходный код и цели у Head Mare, по сообщениям исследователей Лаборатории Касперского).
Отмечены функциональные параллели между EAGLET и PhantomDL (бэкдор на базе Go с оболочкой и возможностью загрузки/выгрузки файлов), а также сходство в алгоритме наименований, применяемой к вложениям в фишинговых сообщениях.
Индикаторы компрометации и технические подробности - в отчете (https://www.seqrite.com/blog/operation-cargotalon-ung0901-targets-russian-aerospace-defense-sector-using-eaglet-implant/) индийской компании.
Explore Live Nature Cams
