{
	"id": "13e197e5-510b-44d8-94df-bc85ab2c4e2c",
	"created_at": "2026-04-06T00:17:26.947936Z",
	"updated_at": "2026-04-10T13:11:39.556093Z",
	"deleted_at": null,
	"sha1_hash": "f366469d96d4c760a72af557216ffc818b641c3f",
	"title": "CERT-UA",
	"llm_title": "",
	"authors": "",
	"file_creation_date": "0001-01-01T00:00:00Z",
	"file_modification_date": "0001-01-01T00:00:00Z",
	"file_size": 2185576,
	"plain_text": "CERT-UA\r\nArchived: 2026-04-05 21:11:53 UTC\r\nЗагальна інформація\r\nУрядовою командою реагування на комп'ютерні надзвичайні події України CERT-UA отримано\r\nінформацію щодо розповсюдження 05.07.2022 електронних листів з темою \"Спеціалізованої прокуратури\r\nувійськовій та оборонній сфері. Інформація щодо наявності вакансій та їх укомплектування\" та\r\nвкладенням у вигляді XLS-документу \"Інформація щодо наявності вакансій та їх укомплектування.xls\".\r\nДокумент містить макрос, активація якого призведе до створення на комп'ютері та запуску файлу\r\n\"write.exe\".\r\nЗгаданий файл виконує роль дропера, забезпечуючи створення на диску файлу\r\n\"%PROGRAMDATA%\\TRYxaEbX\", його дешифрування (RC4) та подальший запуск PowerShell-скрипта.\r\nКрім того, EXE-файл також забезпечує власну персистентність, створюючи ключ \"Check License\" в гілці\r\n\"Run\" реєстру Windows.\r\nОтриманий PowerShell-скрипт, окрім обходу AMSI та відключення логування подій для PowerShell,\r\nзабезпечить декодування та декомпресію даних в наступний PowerShell-скрипт, який, у свою чергу,\r\nзабезпечить виконання шкідливої програми Cobalt Strike Beacon.\r\nЗ середнім рівнем впевненості виявлену активність асоціюємо з діяльністю групи UAC-0056.\r\nІндикатори компрометації\r\nФайли:\r\nc6e7af8d31a951b8c05565ab18c4f258  024054ff04e0fd75a4765dd705067a6b336caa751f0a804fefce787382ac45c1\r\n28f18fc7d9a0ab530742c2314cbd5c32  14736be09a7652d206cd6ab35375116ec4fad499bb1b47567e4fd56dcfcd22ea\r\n8409920ef2d78549fc214718c4719d3a  e68c83ce6359691ce63c957ebfdbf959c5b199c83fd2480aebe4220fec9f3304\r\n1dc98fb372925fcba321b0bc8347fdcc  d1e6d365a3ede77bd7f6c77523b114dd9628f7b9bafb2e458f9b19bd6ce24c71\r\nf4217387333f65faeb7b13637c1e7c72  e1cbfef74b4084023a1f02ab68b3ad3bc60561f7e988860b80ac94a91922fa86\r\n26e326ba69f5258c4979902b5bd4f24e  9dec13e1b0ed9337fcbe233d5f83eff09c64a14c7f2400b9b915a685b29612ea\r\na4b4047022bce6f65faffc4c6033c5d2  c1e14c4d8d83281de413ccaa577621a057195df3773960274aabf855e2c7bea2\r\nМережеві:\r\nskreatortemp[.]site\r\nhXXps://skreatortemp[.]site/s/08u1XdxChhMrLYdTasfnOMQpbsLkpq3o/field-keywords/\r\nhXXps://skreatortemp[.]site/nBz07hg5l3C9wuWVCGV-5xHHu1amjf76F2A8i/avp/amznussraps/\r\nMozilla/5.0_Frsg_stredf_o21_rutyyyrui_type (Windows NT 10.0; Win64; x64; Trident/7.0; D-M1-200309AC;D\r\nhttps://cert.gov.ua/article/619229\r\nPage 1 of 2\n\nХостові:\r\n%PROGRAMDATA%\\TRYxaEbX\r\n%TMP%\\write.exe\r\nHKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Check License\r\n%PROGRAMFILES(x86)%\\Microsoft Office\\Office14\\EXCEL.EXE %TMP%\\write.exe (створення процесу)\r\nРекомендації\r\n1. Заборонити можливість створення небезпечних дочірніх процесів з офісних програм (наприклад,\r\nhttps://support.eset.com/en/kb6119-configure-hips-rules-for-eset-business-products-to-protect-against-ransomware)\r\nГрафічні зображення\r\nSource: https://cert.gov.ua/article/619229\r\nhttps://cert.gov.ua/article/619229\r\nPage 2 of 2",
	"extraction_quality": 1,
	"language": "EN",
	"sources": [
		"Malpedia"
	],
	"origins": [
		"web"
	],
	"references": [
		"https://cert.gov.ua/article/619229"
	],
	"report_names": [
		"619229"
	],
	"threat_actors": [
		{
			"id": "610a7295-3139-4f34-8cec-b3da40add480",
			"created_at": "2023-01-06T13:46:38.608142Z",
			"updated_at": "2026-04-10T02:00:03.03764Z",
			"deleted_at": null,
			"main_name": "Cobalt",
			"aliases": [
				"Cobalt Group",
				"Cobalt Gang",
				"GOLD KINGSWOOD",
				"COBALT SPIDER",
				"G0080",
				"Mule Libra"
			],
			"source_name": "MISPGALAXY:Cobalt",
			"tools": [],
			"source_id": "MISPGALAXY",
			"reports": null
		},
		{
			"id": "eecf54a2-2deb-41e5-9857-fed94a53f858",
			"created_at": "2023-01-06T13:46:39.349959Z",
			"updated_at": "2026-04-10T02:00:03.296196Z",
			"deleted_at": null,
			"main_name": "SaintBear",
			"aliases": [
				"Bleeding Bear",
				"Cadet Blizzard",
				"Nascent Ursa",
				"Nodaria",
				"Storm-0587",
				"DEV-0587",
				"Saint Bear",
				"EMBER BEAR",
				"UNC2589",
				"TA471",
				"UAC-0056",
				"FROZENVISTA",
				"Lorec53",
				"Lorec Bear"
			],
			"source_name": "MISPGALAXY:SaintBear",
			"tools": [],
			"source_id": "MISPGALAXY",
			"reports": null
		},
		{
			"id": "c28760b2-5ec6-42ad-852f-be00372a7ce4",
			"created_at": "2022-10-27T08:27:13.172734Z",
			"updated_at": "2026-04-10T02:00:05.279557Z",
			"deleted_at": null,
			"main_name": "Ember Bear",
			"aliases": [
				"Ember Bear",
				"UNC2589",
				"Bleeding Bear",
				"DEV-0586",
				"Cadet Blizzard",
				"Frozenvista",
				"UAC-0056"
			],
			"source_name": "MITRE:Ember Bear",
			"tools": [
				"P.A.S. Webshell",
				"CrackMapExec",
				"ngrok",
				"reGeorg",
				"WhisperGate",
				"Saint Bot",
				"PsExec",
				"Rclone",
				"Impacket"
			],
			"source_id": "MITRE",
			"reports": null
		},
		{
			"id": "03a6f362-cbab-4ce9-925d-306b8c937bf1",
			"created_at": "2024-11-01T02:00:52.635907Z",
			"updated_at": "2026-04-10T02:00:05.339384Z",
			"deleted_at": null,
			"main_name": "Saint Bear",
			"aliases": [
				"Saint Bear",
				"Storm-0587",
				"TA471",
				"UAC-0056",
				"Lorec53"
			],
			"source_name": "MITRE:Saint Bear",
			"tools": [
				"OutSteel",
				"Saint Bot"
			],
			"source_id": "MITRE",
			"reports": null
		},
		{
			"id": "083d63b2-3eee-42a8-b1bd-54e657a229e8",
			"created_at": "2022-10-25T16:07:24.143338Z",
			"updated_at": "2026-04-10T02:00:04.879634Z",
			"deleted_at": null,
			"main_name": "SaintBear",
			"aliases": [
				"Ember Bear",
				"FROZENVISTA",
				"G1003",
				"Lorec53",
				"Nascent Ursa",
				"Nodaria",
				"SaintBear",
				"Storm-0587",
				"TA471",
				"UAC-0056",
				"UNC2589"
			],
			"source_name": "ETDA:SaintBear",
			"tools": [
				"Agentemis",
				"Cobalt Strike",
				"CobaltStrike",
				"Elephant Client",
				"Elephant Implant",
				"GraphSteel",
				"Graphiron",
				"GrimPlant",
				"OutSteel",
				"Saint Bot",
				"SaintBot",
				"cobeacon"
			],
			"source_id": "ETDA",
			"reports": null
		}
	],
	"ts_created_at": 1775434646,
	"ts_updated_at": 1775826699,
	"ts_creation_date": 0,
	"ts_modification_date": 0,
	"files": {
		"pdf": "https://archive.orkl.eu/f366469d96d4c760a72af557216ffc818b641c3f.pdf",
		"text": "https://archive.orkl.eu/f366469d96d4c760a72af557216ffc818b641c3f.txt",
		"img": "https://archive.orkl.eu/f366469d96d4c760a72af557216ffc818b641c3f.jpg"
	}
}