Mastodawn

EAGLET реализует сбор системной информации и устанавливает соединения с жестко запрограммированным удаленным сервером («185.225.17[.]104»), а после получения HTTP-ответа - выполняет на скомпрометированной машине Windows команды.

EAGLET поддерживает доступ к оболочке и возможность загрузки/выгрузки файлов, состав полезных нагрузок следующего этапа неизвестен, сервер C2 к моменту исследования - в автономном режиме.

Исследователи Seqrite заявляют, что также обнаружили схожие кампании в отношении российского ВПК с использованием EAGLET (аналогичны исходный код и цели у Head Mare, по сообщениям исследователей Лаборатории Касперского).

Отмечены функциональные параллели между EAGLET и PhantomDL (бэкдор на базе Go с оболочкой и возможностью загрузки/выгрузки файлов), а также сходство в алгоритме наименований, применяемой к вложениям в фишинговых сообщениях.

Индикаторы компрометации и технические подробности - в отчете (https://www.seqrite.com/blog/operation-cargotalon-ung0901-targets-russian-aerospace-defense-sector-using-eaglet-implant/) индийской компании.

Operation Cargotalon: Ung0901 Targets Russian Aerospace Defense Using Eaglet Implant

Discover how threat actors behind Operation Cargotalon (Ung0901) are leveraging the Eaglet implant to infiltrate Russia’s aerospace defense sector. Learn about tactics, indicators of compromise (IOCs), and mitigation strategies.

Blogs on Information Technology, Network & Cybersecurity | Seqrite