FrostyNeighbor, білорусько-орієнтований кластер активності, який також пов’язують із публічними згадками про Ghostwriter, знову використовує фішинг проти України. Дослідники ESET повідомляють, що з березня 2026 року нова активність націлена на українські державні організації: зловмисники надсилають PDF-приманки, що імітують телеком-повідомлення, а далі ведуть жертву до JavaScript-версії PicassoLoader і вибіркової доставки Cobalt Strike [1].
Цей ланцюг важливий не тому, що “у вкладенні є вірус”. Він складніший. PDF веде на сервер доставки під контролем атакувальників. Якщо відвідувач не відповідає очікуваному географічному профілю, сервер повертає звичайний PDF, пов’язаний із регулюванням електронних комунікацій в Україні. Якщо ж жертва виглядає цікавою, сервер видає ZIP-архів із shortcut-файлом і JavaScript-дропером. Через це перевірка посилання з іншої країни або в невдалий момент може показати лише безпечний decoy-документ.
Чому цей ланцюг складніше перевіряти
За даними ESET, другий етап JavaScript PicassoLoader збирає fingerprint системи: ім’я користувача, ім’я комп’ютера, версію ОС, час завантаження, поточний час і список процесів із PID. Потім він кожні 10 хвилин звертається до C&C-сервера. Лише якщо оператори вирішують, що жертва варта уваги, сервер повертає наступний JavaScript-етап, який доставляє Cobalt Strike. Практичний висновок простий: на хості може вже працювати loader, навіть якщо фінальний payload ще не з’явився.
Для українських державних структур і підрядників перші перевірки мають бути конкретними. Варто шукати нещодавно відкриті PDF або архіви з темами телекомунікацій, регулювання, завантаження документів чи “захисту даних”; shortcut-файли, витягнуті з ZIP; запуск JavaScript через wscript.exe або cscript.exe; scheduled tasks, створені біля часу відкриття приманки; і вихідний трафік до незвичних document/resource шляхів. Якщо loader уже виконувався, реагування має включати перевірку токенів та облікових даних, бо Cobalt Strike часто означає ручний подальший доступ, а не одну автоматичну дію.
Це схоже на інші фішингові кампанії проти України: зовні приманка виглядає рутинно, а справжня небезпека ховається в логіці доставки. У матеріалі про фішингову кампанію APT28 важливим був контекст цільової атаки; у FrostyNeighbor ключову роль відіграють геофенсинг і вибіркова доставка payload, які легко вводять в оману під час швидкої перевірки.
Свіжий приклад української lure chain, де document-style prompt приховує malware staging, дивіться в матеріалі про Prometheus-приманки Ghostwriter і OYSTERFRESH.
Джерела
- ESET Research / WeLiveSecurity: “FrostyNeighbor: Fresh mischief and digital shenanigans”, 14 травня 2026 року. Аналіз
- ESET newsroom: “Belarus-aligned FrostyNeighbor attacks Ukrainian government, again”, травень 2026 року. Повідомлення
