Українські користувачі Інтернету почали отримувати електронні листи з темою «Спеціалізована прокуратура у військовій та оборонній сфері. Інформація щодо наявності вакансій та їх укомплектування»
Про це попереджають в Урядовій команді реагування на комп'ютерні надзвичайні події України CERT-UA, передає «Закон і Бізнес».
Лист містить вкладення у вигляді XLS-документу «Інформація щодо наявності вакансій та їх укомплектування.xls».
Документ містить макрос, активація якого призведе до створення на комп'ютері та запуску файлу "write.exe". Файл виконує роль дропера, забезпечуючи створення на диску файлу "%PROGRAMDATA%\TRYxaEbX", його дешифрування (RC4) та подальший запуск PowerShell-скрипта. Крім того, EXE-файл також забезпечує власну персистентність, створюючи ключ "Check License" в гілці "Run" реєстру Windows.
Отриманий PowerShell-скрипт, окрім обходу AMSI та відключення логування подій для PowerShell, забезпечить декодування та декомпресію даних в наступний PowerShell-скрипт, який, у свою чергу, забезпечить виконання шкідливої програми Cobalt Strike Beacon.
