APT Steppe Eagle

APT Steppe Eagle — Отчёт Threat Intel (TLP:WHITE)

Обзор

Steppe Eagle — финансово-мотивированный угрожающий актор, активный по
Центральной Азии с ~2022 года. Преимущественно атакует agritech, банковский
сектор и государственные структуры. Вероятно, небольшая команда (5–10 операторов).

TTP

• Первичный доступ: spear-phishing на казахском / русском языках.
• Закрепление: scheduled tasks с PowerShell-нагрузками.
• Командный канал (C2): DNS-туннелирование с поддоменами «казахского» стиля
  (часто: irtysh-cloud-svc.com, aral-monitoring.net).
• Эксфильтрация: HTTP POST через Tor.

Исторические IOC

• C2-домены (актуальные):
• irtysh-cloud-svc.com
• aral-monitoring.net
• kazres-status.org
• IP-адреса (ротируются):
• 185.220.101.42 (пересечение с другими группами; ниже уверенность)
• 195.123.227.61
• File hashes (PowerShell-loader):
• SHA256: a1b2c3d4e5f6789012345678901234567890123456789012345678901234abcd
• User-Agent strings:
• Mozilla/5.0 KazresMonitor/1.0 (высокая специфичность для этого актора)

Региональные цели

Подтверждённые жертвы: 3 казахстанских agritech-компании, 2 банка, 1 министерство.

Задание

Изучите файл dns-server.log (200 строк типичных DNS-запросов с рабочих
станций). Подсчитайте, сколько строк ссылается на C2-домен Steppe Eagle
(любой из трёх перечисленных выше). Отправьте полученное число.

APT Steppe Eagle — Threat Intel есебі (TLP:WHITE) (KK)

Шолу

Steppe Eagle — Орталық Азияда ~2022 жылдан бері белсенді, қаржылай уәжделген
қауіп-актеры. Негізінен agritech, банк секторы және мемлекеттік құрылымдарға
шабуыл жасайды. Мүмкін шағын команда (5–10 оператор).

TTP

• Алғашқы кіру: қазақ / орыс тілдеріндегі spear-phishing.
• Бекіну: PowerShell жүктемелерімен жоспарланған тапсырмалар.
• Командалық арна (C2): «қазақстандық» стильді субдомендермен DNS-туннельдеу
  (жиі: irtysh-cloud-svc.com, aral-monitoring.net).
• Эксфильтрация: Tor арқылы HTTP POST.

Тарихи IOC

• C2-домендер (өзекті):
• irtysh-cloud-svc.com
• aral-monitoring.net
• kazres-status.org
• IP-мекенжайлар (ауыстырылады):
• 185.220.101.42 (басқа топтармен қиылысады; сенімділік төмен)
• 195.123.227.61
• Файл хэштері (PowerShell-loader):
• SHA256: a1b2c3d4e5f6789012345678901234567890123456789012345678901234abcd
• User-Agent жолдары:
• Mozilla/5.0 KazresMonitor/1.0 (бұл актер үшін жоғары арнайылыққа ие)

Аймақтық нысаналар

Расталған құрбандар: 3 қазақстандық agritech-компаниясы, 2 банк, 1 министрлік.

Тапсырма

dns-server.log файлын (жұмыс станцияларынан 200 қалыпты DNS-сұраныс жолы)
зерттеңіз. Steppe Eagle C2-доменіне сілтейтін жолдар санын есептеңіз
(жоғарыдағы үшеуінің кез келгені). Алынған санды жіберіңіз.