--- title: "Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor" description: Acronis Threat Research Unit (TRU) avslöjade en ny SideWinder APT-kampanj riktad mot statliga institutioner på hög nivå i Sri Lanka, Bangladesh och Pakistan. canonical_url: https://www.acronis.com/sv/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/ locale: sv last_updated: 2026-10-11 --- * [Start](https://www.acronis.com/sv/tru/) * [Alla inlägg](https://www.acronis.com/sv/tru/posts/) * [Santiago Pontiroli](https://www.acronis.com/sv/tru/authors/pontiroli-santiago/) 24 september 2025 # Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor Acronis Threat Research Unit (TRU) avslöjade en ny SideWinder APT-kampanj riktad mot statliga institutioner på hög nivå i Sri Lanka, Bangladesh och Pakistan. Författare: **[Santiago Pontiroli](https://www.acronis.com/sv/tru/authors/pontiroli-santiago/), [Prakas Thevendaran](https://www.acronis.com/sv/tru/authors/prakas-thevendaran/)** Andra tillgängliga språk:[English](https://www.acronis.com/en/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Deutsch](https://www.acronis.com/de/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Español](https://www.acronis.com/es/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Français](https://www.acronis.com/fr/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Italiano](https://www.acronis.com/it/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) [Português](https://www.acronis.com/pt/tru/posts/from-banks-to-battalions-sidewinders-attacks-on-south-asias-public-sector/) **Författare:**Santiago Pontiroli, Jozsef Gegeny, Prakas Thevendaran ## Sammanfattning * Acronis Threat Research-enheten (TRU) har upptäckt en ny APT-kampanj med [SideWinder](https://attack.mitre.org/groups/G0121/) som riktar sig mot höga myndigheter i Sri Lanka, Bangladesh och Pakistan. * Angriparna använde riktade nätfiskemejl i kombination med geofence-anpassade payloads för att säkerställa att endast offer i specifika länder tog emot det skadliga innehållet. * Skadliga Word- och RTF-filer som utnyttjade [CVE-2017-0199](https://nvd.nist.gov/vuln/detail/CVE-2017-0199) och [CVE-2017-11882](https://nvd.nist.gov/vuln/detail/CVE-2017-11882) användes som första infektionsvektorer – två sedan länge kända men fortfarande effektiva sårbarheter. * Intrångskedjan innehåller flerstegsinläsare, shellcode-baserad payload-leverans och serverside-polymorfism för att undvika upptäckt. * Slutsteget levererar StealerBot – ett verktyg för stöld av inloggningsuppgifter som används för exfiltration av data och ihållande åtkomst, och som blandar klassiskt spionage med cyberkriminell insamling av inloggningsuppgifter. ## Introduktion Denna kampanj ligger i linje med tidigare rapportering om SideWinders taktikutveckling, uppdateringar av verktyg och utökade geografiska fokus. Tidigare analyser har dokumenterat gruppens intresse för högvärdessektorer som kärnforskning och maritim infrastruktur [1] samt dess konsekventa användning av äldre sårbarheter i Microsoft Office [2] och serverside-polymorfism för att undvika upptäckt [3]. Dessa mönster är också synliga i den aktuella kampanjen, som utnyttjar liknande leveransmekanismer tillsammans med komponenter för stöld av autentiseringsuppgifter för att upprätthålla ihållande åtkomst i myndighetsmiljöer i Sydasien. SideWinder har uppvisat en konsekvent aktivitetsnivå över tid, med ett jämnt operationstempo utan längre perioder av inaktivitet – ett mönster som tyder på organisatorisk kontinuitet och ett långsiktigt syfte. ![Image 1: Betedokument som utger sig för att vara en officiell publikation med titeln “Sri Lanka Customs National Imports Tariff Guide 2025” användes för att locka måltavlor att öppna den skadliga filen.](https://staticfiles.acronis.com/images/content/40d1864ac11ff3bc0d9691cd1cdeef12.png) Betedokument som utger sig för att vara en officiell publikation med titeln “Sri Lanka Customs National Imports Tariff Guide 2025” användes för att locka måltavlor att öppna den skadliga filen. Även flera år efter offentliggörandet är CVE-2017-0199 och CVE-2017-11882 fortfarande tillförlitliga kryphål för hotaktörer, särskilt i spear phishing-kampanjer riktade mot myndighets- och försvarsorganisationer med föråldrade programvarukonfigurationer. Dessa sårbarheter möjliggör fjärrkörning av kod genom skadliga Office-dokument: en genom att ladda externt innehåll, den andra genom att utnyttja en minneskorruptionsfel i den äldre Equation Editor, vilket leder till en potentiell systemkompromiss när offret öppnar en anpassad fil. ![Image 2: Beroende på offrets plats (IP-adress) och User-Agent kommer servern att presentera nästa fas i infektionskedjan, ett 404-fel eller en RTF-fil som lockbete.](https://staticfiles.acronis.com/images/content/90b6fa0a5fa373ba104f42fc2c84c175.png) Beroende på offrets plats (IP-adress) och User-Agent kommer servern att presentera nästa fas i infektionskedjan, ett 404-fel eller en RTF-fil som lockbete. I den här analysen undersöker vi en ny kampanj som riktar sig mot Sri Lanka, Bangladesh och Pakistan, där SideWinder använder skadliga dokument för att leverera flerstegsinläsare, shellcode-baserade nyttolaster och verktyget StealerBot för att samla in autentiseringsuppgifter. Vi undersöker deras undvikandetekniker, serverside-polymorfism och command-and-control-infrastruktur, samt ger rekommendationer för detektion och begränsning. ![Image 3: Beroende på vilken institution som avses använder denna grupp relaterade dokument som ibland är allmänt tillgängliga, men som verkar konfidentiella.](https://staticfiles.acronis.com/images/content/8d107d94a69ed6447b46a9d9965254d8.png) Beroende på vilken institution som avses använder denna grupp relaterade dokument som ibland är allmänt tillgängliga, men som verkar konfidentiella. ### SideWinder's playbook Mark Twain sägs ha sagt: ”Historien upprepar sig inte, men den rimmar ofta”, och i fallet med denna hotaktör ser vi ett kontinuerligt användande av beprövade, enkla men effektiva tekniker. I tidigare kampanjer, när ett offer öppnade det skadliga dokumentet, skulle exploateringen utlösa nedladdningen av ett skript, som sedan kör ytterligare nyttolaster med hjälp av [System Binary Proxy Execution: mshta.exe (T1218.005).](https://attack.mitre.org/techniques/T1218/005/) Trots att den här tekniken korrigerades för flera år sedan är den fortfarande effektiv på grund av: * Många organisationer använder fortfarande föråldrade Office-versioner. * Det är enkelt att kringgå e-postfilter med inbäddade OLE-objekt. * Det är enkelt att automatisera storskalig leverans i phishing-kampanjer. Men i den här kampanjen som började under 2025 fortsätter vi att observera användningen av shellcode-baserade inläsare i stället för den tidigare missbrukade mshta.exe. Detta tillvägagångssätt, som överensstämmer med tekniker som rapporterats vid tidigare aktiviteter, inklusive i mars 2025, tyder på att SideWinder har etablerat denna metod som sin standard för leverans av payloads. Även om den övergripande strukturen i attackkedjan förblir oförändrad, visar gruppens fortlöpande förfining en utveckling av effektiva och beprövade tekniker snarare än en radikal förändring i strategi. ![Image 4: Riktad kommunikation till Sri Lankas armés 55:e division med en inbjudan till International Military Sports Councils 54:e mästerskap.](https://staticfiles.acronis.com/images/content/0bf4be5028880a4f708044f7d4a99200.png) Riktad kommunikation till Sri Lankas armés 55:e division med en inbjudan till International Military Sports Councils 54:e mästerskap. 55 Divisionen är ett elitinfanteriförband i [Sri Lankas armé](https://www.army.lk/), verksamt sedan 1996. Den är för närvarande utplacerad på Jaffnahalvön under befäl av Security Forces Headquarters. ![Image 5: Medlemmar av Sri Lankas armé deltar vanligtvis i internationella tävlingar inom ramen för International Military Sports Council (CISM), som främjar global militär samhörighet genom idrott.](https://staticfiles.acronis.com/images/content/e3730278d376b07d1310003eff6b6fcb.png) Medlemmar av Sri Lankas armé deltar vanligtvis i internationella tävlingar inom ramen för International Military Sports Council (CISM), som främjar global militär samhörighet genom idrott. Det är arméns mest kraftfulla division och omfattar över 10 000 infanterisoldater fördelade på fyra brigader. På senare tid har den även [tagit ledningen i kampen mot cyberhot](https://www.army.lk/news/sri-lanka-signal-corps-take-lead-against-cyber-threats-it-commander-army-0), vilket gör den till ett intressant mål för SideWinder. ![Image 6: Riktad kommunikation till IT-direktören vid Centralbanken i Sri Lanka, med ett bifogat skadligt dokument innehållande information om penningpolitik och förändringar under februari 2025.](https://staticfiles.acronis.com/images/content/08380c84f42c57f461d0a53812961f21.png) Riktad kommunikation till IT-direktören vid Centralbanken i Sri Lanka, med ett bifogat skadligt dokument innehållande information om penningpolitik och förändringar under februari 2025. [Central Bank of Sri Lanka (CBSL)](https://www.cbsl.gov.lk/) är landets högsta finansiella myndighet och ansvarar för att ge ut valuta, fastställa penningpolitiken och värna om den ekonomiska stabiliteten. CBSL grundades 1950, har sitt huvudkontor i Colombo och spelar en central roll i hanteringen av Sri Lankas finansiella system och valutareserver. Som den institution som ligger bakom viktiga nationella ekonomiska beslut är dess ledarskap och digitala infrastruktur värdefulla mål. För att öka risken för infektion får varje målperson ett anpassat e-postmeddelande och ett dokument som kan vara av intresse. Gruppen skapar eller uppdaterar också relevanta domäner för att framstå som en legitim institution eller utge sig för att vara en annan som målet kan lita på. ## Infrastruktur SideWinder upprätthöll ett jämnt tempo för uppdateringar av command-and-control-infrastrukturen (C2), med en markant ökning i januari 2025 då 34 nya domäner registrerades eller ompekades. Aktiviteten var fortsatt hög i februari 2025 med 24 nya domäner, följt av en kraftig nedgång i mars, vilket kan tyda på en period av driftstopp eller återanvändning av infrastruktur. En ny ökning inträffade i april 2025 med 10 nya domäner, vilket tyder på förnyad aktivitet. ![Image 7: Uppdaterade kommando- och kontrolldomäner under 2025 visar en ökning av aktiviteten med början i januari.](https://staticfiles.acronis.com/images/content/66439fe47324d6cc331272a95a2d9f76.png) Uppdaterade kommando- och kontrolldomäner under 2025 visar en ökning av aktiviteten med början i januari. ## Förstå SideWinder: Geofencestyrd leverans i praktiken Den här rapporten omfattar 49 skadliga dokument som tillskrivs den pågående SideWinder-kampanjen, men vi kommer att lyfta fram ett representativt exempel för att illustrera hela intrångskedjan, från första leverans till kryphål. Det här fallet handlar om ett nätfiskemejl med ett skadligt Word-dokument bifogat, särskilt utformat för att rikta sig till en organisation i Bangladesh. Exemplet är från början av maj 2025 och ger ett tydligt exempel på gruppens nuvarande metoder. **Filename:** Caution Against Propaganda and Misinformation Campaigns.docx **SHA256:** 57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d **MD5:** b0f2f200a69db71947578fca51d4ff94 ![Image 8: Detta prov laddades upp till VirusTotal från Bangladesh den 4 maj 2025.](https://staticfiles.acronis.com/images/content/0de8bea80668af17129c9cbcd57e8754.png) Detta prov laddades upp till VirusTotal från Bangladesh den 4 maj 2025. Dokumentet innehåller ett kryphål för **CVE-2017-0199**, en sårbarhet i Microsoft Office som möjliggör exekvering av fjärrkod när en användare öppnar en fil som refererar till ett externt objekt. Eftersom .docx-filer är strukturerade som ZIP-arkiv kan vi genom att inspektera filen **word/_rels/document.xml.rels** identifiera en relationspost med **TargetMode="External" som** pekar på en fjärr-URL. Denna URL används för att ladda en skadlig mall (RTF) från en server som kontrolleras av en angripare, vilket i tysthet utlöser sårbarheten och initierar nästa fas i intrångskedjan utan att kräva ytterligare användarinteraktion. I det här fallet pekar URL:en för nyttolasten för utnyttjandet på _hxxps[://]advisory[.]army-govbd[.]info/ISPR/d81b2d23/Accept\_EULA[.]rtf_ ![Image 9: Uppdaterade kommando- och kontrolldomäner under 2025 visar en ökning av aktiviteten med början i januari.](https://staticfiles.acronis.com/images/content/2d4c1d34336a81e36644a68fe51ba003.png) Uppdaterade kommando- och kontrolldomäner under 2025 visar en ökning av aktiviteten med början i januari. Om offrets IP-adress eller geolokalisering inte matchar de avsedda mål kriterierna svarar servern med en lockfil: en tom RTF-fil med SHA-256 kondensatet [1955c6914097477d5141f720c9e8fa44b4fe189e854da298d85090cbc338b35a](https://www.virustotal.com/gui/file/1955c6914097477d5141f720c9e8fa44b4fe189e854da298d85090cbc338b35a), som fungerar som ett skydd för att förhindra analys och oavsiktlig tillgång. ![Image 10: Tom RTF-fil som används som lockbete. I vissa fall returnerar en omvänd proxy helt enkelt en 404 HTTP-statuskod, vilket innebär att den begärda webbadressen inte är tillgänglig.](https://staticfiles.acronis.com/images/content/b122b71f7fa405ed54e1d092442fb1c8.png) Tom RTF-fil som används som lockbete. I vissa fall returnerar en omvänd proxy helt enkelt en 404 HTTP-statuskod, vilket innebär att den begärda webbadressen inte är tillgänglig. ### Kedja samman äldre Microsoft Office-sårbarheter **Filename:** Accept_EULA.rtf **SHA256:** e4afb43a13e043d99ff0fb0a0ac49e96a04932ba37365527914d6be779597edf **MD5:** 71b0774691ab8192af8ed8e816a1f475 Dessa MD5-hashar är inte offentligt tillgängliga någon annanstor, eftersom servern använder dynamisk payload-generering och skapar en unik fil med ett nytt kondensat för varje begäran. För att ge ytterligare support för analys och upptäckt **har vi laddat upp alla relevanta prover till VirusTotal**. För att ladda ner RTF-nyttolasten krävs ett giltigt User-Agent-huvud, eftersom servern filtrerar förfrågningar. Följande är bekräftade fungerande användaragenter som framgångsrikt hämtade filen RTF Mozilla/4.0 (kompatibel; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; MSOffice 12) Microsoft Office/16.0 (Windows NT 10.0; Microsoft Excel 16.0.4266; Pro) RTF-filen **utnyttjar CVE-2017-11882**, en sårbarhet för minneskorruption i den äldre Equation Editor. Det bäddar in shellcode som är kodad som en hexadecimal teckensträng, vilken körs när dokumentet öppnas för att initiera nästa steg i attacken. ![Image 11: Inbäddat objekt (\objemb) som analyseras och exekveras av den sårbara Equation Editor-komponenten.](https://staticfiles.acronis.com/images/content/b2825141565949fb3154df6b6875d32c.png) Inbäddat objekt (\objemb) som analyseras och exekveras av den sårbara Equation Editor-komponenten. Om vi konverterar den här stora hexadecimala strängen till binär kan vi redan nu se nedladdningslänken för nästa fas: ![Image 12: URL för nästa fas i infektionskedjan.](https://staticfiles.acronis.com/images/content/d834cc062340bad21d579dc9bd8a6196.png) URL för nästa fas i infektionskedjan. Ovanstående binärfil kan också dekompileras, eftersom den innehåller validerade CPU-instruktioner. Själva shellcoden börjar med CWDE-instruktionen (Convert Word to Doubleword Extended): ![Image 13: Strängar avkodas senare vid körning och endast vid behov.](https://staticfiles.acronis.com/images/content/fa862fa59a082f623ca31d9b80c55650.png) Strängar avkodas senare vid körning och endast vid behov. Shellkoden använder 32-bitars instruktioner, eftersom den har som mål 32-bitars EQNEDT32.EXE, den sårbara Equation Editor-komponenten som utnyttjas via CVE-2017-11882. Efter att ha initierat stacken börjar shellkoden konstruera och lagra kodade strängar direkt på stacken, som senare avkodas vid körning efter behov. Dessa strängar innehåller i första hand API-funktionsnamn som löses dynamiskt under körningen. Dessutom implementerar shellkoden tekniker för att undvika sandlådor, genom att utföra en serie kontroller för att avgöra om den körs i en virtualiserad eller emulerad miljö. * Den kontrollerar storleken på RAM-minnet. Detta görs genom att anropa GlobalMemoryStatusEx API. * Den letar efter dotnetlogger32.dll genom att helt enkelt anropa LoadLibraryA. Om ovanstående kontroller godkänns laddar shellcoden winhttp.dll och använder dess exporterade funktioner, till exempel WinHttpOpen och WinHttpConnect, för att hämta nästa fas från _hxxps[://]advisory[.]army-govbd[.]info/ISPR/7201a146_. Det nedladdade innehållet är kodat: ![Image 14: Kodad nyttolast, genererad för just detta offer.](https://staticfiles.acronis.com/images/content/3f85462f33199103e8dce97d0f61f9eb.png) Kodad nyttolast, genererad för just detta offer. Nyttolasten som visas ovan är kodad för att undgå statisk analys och upptäckt med signaturbaserade verktyg. Kodning av kritiska strängar, funktionsnamn och webbadresser på stacken är en vanlig fördunklingsteknik för shellcoder och har använts av SideWinder i tidigare kampanjer. ![Image 15: Dessa data avkodas med en enkel byte XOR, med hjälp av nyckeln 0x28.](https://staticfiles.acronis.com/images/content/92197fdded1629218db3421c7484b29c.png) Dessa data avkodas med en enkel byte XOR, med hjälp av nyckeln 0x28. Efter dekryptering når vi den andra delen av shellcode, som i huvudsak innehåller en PE-inläsare och en inbäddad körbar fil: ![Image 16: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/a76c91cbafd14e1903cff40e18080474.png) Som sista steg ändrar shellcoden minnesskyddet för den avkodade bufferten med hjälp av VirtualProtect för att göra den körbar, och överför därefter exekveringen dit. Sedan söker denna fas av shellcoden efter explorer.exe: ![Image 17: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/6bd01901dcd2ce48a090c2d2248b34ce.png) När processen har hittats injicerar shellcoden den inbäddade PE-filen i den med hjälp av standard Windows API-anrop som VirtualAllocEx och CreateRemoteThread (eller NtCreateThreadEx). Detta markerar början på fas 3, där nyttolasten exekveras inom ramen för fjärrprocessen. ### Låt exfiltrationen börja **SHA256:** 61132f15775224f8aae02499b90b6bc19d4b3b44d987e0323276dceb260cc407 **MD5:** 648eb92f1125f0156880578cc64a53dd **Obs:** På samma sätt som RTF-filerna är dessa filer också unika och finns inte på VT eller någon annanstans. När vi tittar på de exporterade symbolerna kan vi hitta det ursprungliga filnamnet för den här filen, vilket är StealerBot.CppInstallerDocx.dll: ![Image 18: Exporterad funktion i StealerBot-modulen.](https://staticfiles.acronis.com/images/content/dcdfd575c85db1f119afdb5f53c186fd.png) Exporterad funktion i StealerBot-modulen. Den har också en exporterad funktion som heter **IceCream**. Detta exempel kan köras med rundll32.exe utan några problem: Rundll32.exe StealerBot.CppInstallerDocx.dll IceCream Koden börjar med ett välkänt trick, nämligen att utföra en kontroll på Thread Environment Block (TEB) för att upptäcka om programmet felsöks: ![Image 19: På 64-bitars Windows finns PEB vid GS:[0x60] (motsvarande FS:[0x30] på 32-bitars).](https://staticfiles.acronis.com/images/content/7891128ab953a41591d9795f3cfbc2ef.png) På 64-bitars Windows finns PEB vid GS:[0x60] (motsvarande FS:[0x30] på 32-bitars). Den samlar sedan in grundläggande systeminformation och skickar den till en hårdkodad URL för kommando- och kontrollservern (samma som de tidigare faserna hämtades från): ![Image 20: Kommunikation mellan offret och C2-servern.](https://staticfiles.acronis.com/images/content/6503fef49618d70dea5219e7311e93b1.png) Kommunikation mellan offret och C2-servern. Datavärdet är en Base64-kodad sträng som innehåller den insamlade informationen, separerad med ordet “DEFENSTRATION”: StevenDEFENSTRATIONDESKTOP-IAKPONKDEFENSTRATION12th Gen Intel(R) Core(TM) i7-1260PDEFENSTRATION2DEFENSTRATIONDrive: C:\, Size: 59 GBDEFENSTRATION1023DEFENSTRATION134217727DEFENSTRATION00:0C:29:82:38:12DEFENSTRATION10.0 Build 19045DEFENSTRATION64-bitDEFENSTRATION Genom att ersätta avgränsaren med en radbrytning kan vi bättre sammanfatta den data som skickas till kontrollservern: ![Image 21: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/e8f26fcb876158bee5da9444dd60c575.png) Kodanalysen indikerar att information om installerad antivirusprogramvara också samlas in, men i vår testmaskin saknades den. Denna hotaktör kommer att försöka upptäcka analysinsatser och profilering av virtuella maskiner för att undvika att leverera skadlig nyttolast. Om allt ligger inom de förväntade parametrarna svarar däremot servern med ett kodat svar: BBMqTFZVVyo9NmFkNmRkMDphZHFkODQFEypMVlVXKj02YWQ2ZGQwOmFkcWQ4NwUcKkxWVVcqPTZhZDZkZDA6YWRxZDg2I2g4BQoqTFZVVyo0ZzBjMjFkZAUKKkxWVVcqMzQyYzdmNWMFCipMVlVXKmNhZDc0YDw2BQB1aml0BRxkYXNsdmp3fCtkd2h8KGJqc2dhK2xrY2oFAG1xcXUFFCBkdXVhZHFkIFlZQmR1bGYFA0JkdWxmBRRRZHVsUGtkcXFga2ErYH1gBQlyYXZmandgK2FpaQUKKkxWVVcqYTw2YzNkMT0F Serverns svar är fördolt med två lager kodning: först Base64-kodas datan, därefter krypteras den med XOR med nyckeln 0x05 (en byte). Efter avkodning av båda lagren kan klartextsvaret från servern erhållas: ![Image 22: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/861520ad1eff1a57cd266251e501cbc9.png) Låt oss se det rad för rad: ![Image 23: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/4277197522e5d43ba5e95153f7cae3bd.png) Och det här är de nedladdade och släppta filernas layout i Explorer-vyn: ![Image 24: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/d8e81d56854e71913666f61671195339.png) En LNK-fil skapas också i användarens Startup-mapp (Start Menu\Programs\Startup\Gapic.lnk), som pekar på körningen av TapiUnattend.exe som finns i APPDATA-katalogen. Huvudsyftet med denna DLL-installatör är att etablera persistens och möjliggöra laddning av nästa steg genom DLL-sideloading av wdscore.dll, genom att utnyttja det legitima och betrodda programmet TapiUnattend.exe ### StealerBot levereras via DLL-sideloading Det har varit en lång resa hittills och vi är nu framme vid slutfasen av denna långa intrångskedja. Det här är de filer som används för att leverera StealerBot, som används för att stjäla autentiseringsuppgifter och information: Filnamn MD5 Beskrivning TapiUnattend.exe b574abf43dcc57a359129d1adb4cdda0 Legitim körbar fil för DLL Sideloading wdscore.dll b37522b69406b3f6229b7f3bbef0a293 Skadlig DLL-inläsare HBG6XFRE.JZS7 9e3aaa68e88a604a7aba9cf83b49de6e Slutlig nyttolast (StealerBot) IpHelper.dll 12a891501e271d32802495af88cfa247 Hjälpmodul När TapiUnattend.exe körs startar laddningen av wdscore.dll, en skadlig DLL som utför två viktiga funktioner: * Avkodning av den inbäddade filen HBG6XFRE.JZS7. * Initialisering av Common Language Runtime (CLR) och laddning av den avkodade .NET-baserade StealerBot. Genom reverse engineering av avkodningsrutinen i wdscore.dll fastställde vi att den kodade filen börjar med en 15-byte XOR-nyckel, följt av den dolda nyttolasten. Denna nyckel används för att dekryptera det återstående innehållet under körning, vilket möjliggör dynamisk laddning av StealerBot i minnet. ![Image 25: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/b5768f6724501e3739389b6635f9475c.png) Med hjälp av den här informationen kunde vi dumpa det okrypterade StealerBot-provet. **Filename:** StealerBot **SHA256:** c62e365a6a60e0db4c2afd497464accdb783c336b116a5bc7806a4c47b539cc5 **MD5:** 88af570ec4821aa762ed04f2549ad6c1 **Control Panel:**hxxps[://]ecility[.]xyz ## Viktimologi Kampanjen hänvisar till många statliga och militära institutioner i Bangladesh, Pakistan och Sri Lanka, men det är fortfarande oklart om alla var direkt mål eller bara imiterade för att öka trovärdigheten i nätfisket. Dock har bekräftad målinriktning fastställts för Centralbanken i Sri Lanka och Sri Lankas armés 55:e divisionsbataljon, baserat på nätfiskemejl som upptäckts på VirusTotal och som uttryckligen var adresserade till dessa organisationer. De övriga institutionerna, som finans-, försvars- och utrikesministerierna, förekommer i lockinnehåll men kan ha inkluderats endast i social engineering-syften. Denna selektiva inriktning och efterbildningstaktik är förenlig med SideWinders tidigare tillvägagångssätt i regionen. ![Image 26: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/973b4d5f01c477d3d9a18e32d74c3068.png) ![Image 27: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/1802f3efeb7f3b446773ae74e618f3bd.png) ## Slutsats SideWinder fortsätter att bevisa att gamla sårbarheter är svårutrotade och utnyttjar effektivt CVE-2017-0199 och CVE-2017-11882 för att leverera komplexa nyttolaster i flera steg i riktade attacker i Sydasien. Deras användning av geofenced leverans, shellcode-baserade inläsare, DLL-sidoladdning och snabb C2-infrastrukturrotation understryker operativ mognad som utmanar traditionella detektionsmetoder. Vid första anblicken kan denna hotaktör tyckas förlita sig på föråldrade, väl korrigerade kryphål. En närmare analys av deras taktik, teknik och procedurer (TTP) avslöjar dock en hög grad av kontroll och precision, vilket säkerställer att skadliga nyttolaster endast levereras till noggrant utvalda mål, och ofta endast under en begränsad tid. Denna blandning av äldre kryphål med moderna strategier för att undvika och rikta in sig på mål belyser SideWinders fortsatta relevans och anpassningsförmåga i dagens hotlandskap. ## Detektering av Acronis ![Image 28: Från banker till bataljoner: SideWinders attacker mot Sydasiens offentliga sektor](https://staticfiles.acronis.com/images/content/12af2b690e275af110727a0fd62d349c.png) ## Allmänna rekommendationer för begränsning av skador * Inaktivera makron och laddning av externt innehåll i Microsoft Office för att förhindra automatisk nedladdning av fjärrmallar. * Blockera eller begränsa körning av mshta.exe, wscript.exe och powershell.exe där de inte behövs, eftersom dessa ofta missbrukas för körning i första fasen. * Distribuera regler för beteendedetektering för att övervaka: o Misstänkta underordnade bearbetningar som skapats av Office-applikationer. o Shellcode-aktivitet i minnet eller processhåltagning. * Tillämpa filtrering på nätverksnivå för att upptäcka och blockera kommunikation med känd C2-infrastruktur (kommando-och-kontroll). * Tillämpa alla säkerhetsuppdateringar för Microsoft Office, särskilt för äldre sårbarheter som CVE-2017-0199 och CVE-2017-11882. * Använd EDR-lösningar (Endpoint Detection and Response) för att spåra avvikande DLL-sidoladdning eller körning från ovanliga kataloger. * Utbilda slutanvändare så att de kan känna igen spearphishing-taktik, inklusive användning av till synes officiella myndighets- eller försvarsdokument. ## Indikatorer på kompromiss ### Dokument (Sorterade efter datum för första visning) **SHA256** [725ded50e7f517addd12f029aeaf9a23f2b9ce6239b98820c8a12ea5cb79dbfa](https://www.virustotal.com/gui/file/725ded50e7f517addd12f029aeaf9a23f2b9ce6239b98820c8a12ea5cb79dbfa) [57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d](https://www.virustotal.com/gui/file/57b9744b30903c7741e9966882815e1467be1115cbd6798ad4bfb3d334d3523d) [558de2a01fbd76be171561c3c82fd6a8e2d4c913444850af99d44a4cfb41b680](https://www.virustotal.com/gui/file/558de2a01fbd76be171561c3c82fd6a8e2d4c913444850af99d44a4cfb41b680) [f464ad5c6aba13b42aa903bda0add7c074d45388da379747c83f2c3756c9b658](https://www.virustotal.com/gui/file/f464ad5c6aba13b42aa903bda0add7c074d45388da379747c83f2c3756c9b658) [63f5445527c47e17b71e87eef4dd7a86883607a22830bcee5b1fabc5d03bab38](https://www.virustotal.com/gui/file/63f5445527c47e17b71e87eef4dd7a86883607a22830bcee5b1fabc5d03bab38) [65c9e15d9b916b193ce1d96bb99c1c1f3ade0273270b56cf6e476a21b31a3491](https://www.virustotal.com/gui/file/65c9e15d9b916b193ce1d96bb99c1c1f3ade0273270b56cf6e476a21b31a3491) [7363887b6b0fe7cece3c21ad18515835922379c7d78c47cea745940a1061a6c4](https://www.virustotal.com/gui/file/7363887b6b0fe7cece3c21ad18515835922379c7d78c47cea745940a1061a6c4) [40712a087a8280425f1b317e34e265c0329ffb0057be298d519fc5e0af6cb58f](https://www.virustotal.com/gui/file/40712a087a8280425f1b317e34e265c0329ffb0057be298d519fc5e0af6cb58f) [69eee36642f274c724fadcfdf1f103ae0fd9b5f4bad7ac6a33b3c627d6114426](https://www.virustotal.com/gui/file/69eee36642f274c724fadcfdf1f103ae0fd9b5f4bad7ac6a33b3c627d6114426) [2d92d24b3abed7acac165b002bd5922f8f17b6e4944e658938fe022902fe6a7e](https://www.virustotal.com/gui/file/2d92d24b3abed7acac165b002bd5922f8f17b6e4944e658938fe022902fe6a7e) [663a7b509db86ca498af57cc458139a76ee07c60d413d60a98921c7e901e0e3d](https://www.virustotal.com/gui/file/663a7b509db86ca498af57cc458139a76ee07c60d413d60a98921c7e901e0e3d) [5ec639facb2cb9503059d519790279f1b9f510d8d63a2a2c44637b1d1dd1e538](https://www.virustotal.com/gui/file/5ec639facb2cb9503059d519790279f1b9f510d8d63a2a2c44637b1d1dd1e538) [0a7fce4e7456ecb12c95d28b6b4d263d9ca23a1de1e298234a904a319be6e708](https://www.virustotal.com/gui/file/0a7fce4e7456ecb12c95d28b6b4d263d9ca23a1de1e298234a904a319be6e708) [00877fcfb31fdc23ca6987e569090f761ed414bdee0546bdbd3ce3acc44cc293](https://www.virustotal.com/gui/file/00877fcfb31fdc23ca6987e569090f761ed414bdee0546bdbd3ce3acc44cc293) [8d00c97d16e3733feee6b1bc6bd77b8423e0b79a812db55880f5b2d751a4bd47](https://www.virustotal.com/gui/file/8d00c97d16e3733feee6b1bc6bd77b8423e0b79a812db55880f5b2d751a4bd47) [dc7066d972367f15c9b6e2e36a5c643ab87deed958cc27ac0fbf0ff1f4535a99](https://www.virustotal.com/gui/file/dc7066d972367f15c9b6e2e36a5c643ab87deed958cc27ac0fbf0ff1f4535a99) [8dd189e390b168bff6caa82d5077f4eda8902c251fe0a0120aa42bd78e56f9bc](https://www.virustotal.com/gui/file/8dd189e390b168bff6caa82d5077f4eda8902c251fe0a0120aa42bd78e56f9bc) [46785f7e5cd2966d30167cbd496333a5dd871b19e6a2833ab1a4157fc35e8ee5](https://www.virustotal.com/gui/file/46785f7e5cd2966d30167cbd496333a5dd871b19e6a2833ab1a4157fc35e8ee5) [ac13697c19cf0b6767442fc001ca48d0d9e3c9340549d3e73539ea299e27015e](https://www.virustotal.com/gui/file/ac13697c19cf0b6767442fc001ca48d0d9e3c9340549d3e73539ea299e27015e) [32e2d29143f57335c6477dc764350fed13b7e3873fb06491d9863a95b8921e92](https://www.virustotal.com/gui/file/32e2d29143f57335c6477dc764350fed13b7e3873fb06491d9863a95b8921e92) [ffebc5f8fc3a0346f9767c64b5b040d7679e1d3726024e59fe134825e31c8b8c](https://www.virustotal.com/gui/file/ffebc5f8fc3a0346f9767c64b5b040d7679e1d3726024e59fe134825e31c8b8c) [208c335a3cccbdba6b1ec0c76ad3b751c6409712e493c24e2532a389d887e0af](https://www.virustotal.com/gui/file/208c335a3cccbdba6b1ec0c76ad3b751c6409712e493c24e2532a389d887e0af) [a90fd0e3d3be14b92b3dc809ddea9a0cc377b130ebb4c48a8891e4832a85c412](https://www.virustotal.com/gui/file/a90fd0e3d3be14b92b3dc809ddea9a0cc377b130ebb4c48a8891e4832a85c412) [fa5a3e215e4970b0c39b6bbfb9425aa6ee4a8bc1359d85f7052d99e663aee333](https://www.virustotal.com/gui/file/fa5a3e215e4970b0c39b6bbfb9425aa6ee4a8bc1359d85f7052d99e663aee333) [bb9acc2d23afee3265b81326ce65cfddde3fc04648d3ba2d2ea22ec0e3d8f90e](https://www.virustotal.com/gui/file/bb9acc2d23afee3265b81326ce65cfddde3fc04648d3ba2d2ea22ec0e3d8f90e) [5b5a1833d4daaf05699a009316a4d866851130b258f424f066b867a534ba944d](https://www.virustotal.com/gui/file/5b5a1833d4daaf05699a009316a4d866851130b258f424f066b867a534ba944d) [9b76d98c2641512c66e8f2f99b2d0bda86ec1a4809420b74feadfb8f4f7dbf48](https://www.virustotal.com/gui/file/9b76d98c2641512c66e8f2f99b2d0bda86ec1a4809420b74feadfb8f4f7dbf48) [fb4695b45ac62e10f29e9a45c4190dce2fe6af71a96a2bd66e08c1a99416cc7e](https://www.virustotal.com/gui/file/fb4695b45ac62e10f29e9a45c4190dce2fe6af71a96a2bd66e08c1a99416cc7e) [677b4d9efcfcae9cbbd39b2b2cdc0df69d4a55460814747f60f35ea2e81dad2e](https://www.virustotal.com/gui/file/677b4d9efcfcae9cbbd39b2b2cdc0df69d4a55460814747f60f35ea2e81dad2e) [2be8ca1e2415b5ca1605977b2ff10ff9aef06e3be7eb39496bb18d3ba7772901](https://www.virustotal.com/gui/file/2be8ca1e2415b5ca1605977b2ff10ff9aef06e3be7eb39496bb18d3ba7772901) [1c68ca3ede75946568bb00c39b7054cb2ae4fcbe2805061e38ed15f4d526262c](https://www.virustotal.com/gui/file/1c68ca3ede75946568bb00c39b7054cb2ae4fcbe2805061e38ed15f4d526262c) [9700f9b614aa87c6137c4325951e59258cdb87f02df7a5ed4f4accea279ede26](https://www.virustotal.com/gui/file/9700f9b614aa87c6137c4325951e59258cdb87f02df7a5ed4f4accea279ede26) [74111c9b0ed748fc6bfc025d13a2ed08663b988cb69c044f1c6f153f9020294c](https://www.virustotal.com/gui/file/74111c9b0ed748fc6bfc025d13a2ed08663b988cb69c044f1c6f153f9020294c) [a61335c10cf98064761806af6451b3cddd66641ccb35a6d8b915a02d6279f46a](https://www.virustotal.com/gui/file/a61335c10cf98064761806af6451b3cddd66641ccb35a6d8b915a02d6279f46a) [1527cf10f00c798262b3347c00af8028fee3bc88a450bc2df7766b1118c62cd5](https://www.virustotal.com/gui/file/1527cf10f00c798262b3347c00af8028fee3bc88a450bc2df7766b1118c62cd5) [5891f4dfa47d5b268c5d82366c312ecda715da91e148afa6064f3058f3c5a69b](https://www.virustotal.com/gui/file/5891f4dfa47d5b268c5d82366c312ecda715da91e148afa6064f3058f3c5a69b) [e33e74e3925bc3f287ef817a186807a38d411524984a5d0930939646022206b0](https://www.virustotal.com/gui/file/e33e74e3925bc3f287ef817a186807a38d411524984a5d0930939646022206b0) [1321fc1eefc3d3f5aae16a81ac139a31beaf2355935d94210abf69253d29b486](https://www.virustotal.com/gui/file/1321fc1eefc3d3f5aae16a81ac139a31beaf2355935d94210abf69253d29b486) [96d429d67a2663ef2cf3f45ccd0619adf0cd030f7fe70f072af1ce1d67ec52a3](https://www.virustotal.com/gui/file/96d429d67a2663ef2cf3f45ccd0619adf0cd030f7fe70f072af1ce1d67ec52a3) [22527dd1a62dc46dd4edd23a681657cf4c3477e9f90fb1ef63ef657608b9838c](https://www.virustotal.com/gui/file/22527dd1a62dc46dd4edd23a681657cf4c3477e9f90fb1ef63ef657608b9838c) [fb50c60c237ea00f29e4876b326f5f8e872f5ad6d1ca7c9925d9b901e573f788](https://www.virustotal.com/gui/file/fb50c60c237ea00f29e4876b326f5f8e872f5ad6d1ca7c9925d9b901e573f788) [de54f8933ff81f93652ab824e8f9e60197135e1064f0ca4ca99df833a7a94e9d](https://www.virustotal.com/gui/file/de54f8933ff81f93652ab824e8f9e60197135e1064f0ca4ca99df833a7a94e9d) [47d77499968244911d0179fb858578de00dbb98079e33f5ed5d229d03eb04d67](https://www.virustotal.com/gui/file/47d77499968244911d0179fb858578de00dbb98079e33f5ed5d229d03eb04d67) [ffd26019b21da5833caf2b6974cbc9ce79d911653cdfbb6e59a8ac7d4cc80f51](https://www.virustotal.com/gui/file/ffd26019b21da5833caf2b6974cbc9ce79d911653cdfbb6e59a8ac7d4cc80f51) [15cf5271c7b9b8ad22c4c96bc8674d9835e8d419fc1a6077f3b59fbd7e59d112](https://www.virustotal.com/gui/file/15cf5271c7b9b8ad22c4c96bc8674d9835e8d419fc1a6077f3b59fbd7e59d112) [54c4641f709e51622531dc3d04fd2f4a3bad2a42dca287e2777c04d59cbca789](https://www.virustotal.com/gui/file/54c4641f709e51622531dc3d04fd2f4a3bad2a42dca287e2777c04d59cbca789) [d3fb61c0211bd379bf80f15cf072fdbc1187fe95546fdfcfcbdf8918004f05e2](https://www.virustotal.com/gui/file/d3fb61c0211bd379bf80f15cf072fdbc1187fe95546fdfcfcbdf8918004f05e2) [35cc327806ae0d760b94a5b3daedea9cdcb2ed0854a484c8ec3cded195e75037](https://www.virustotal.com/gui/file/35cc327806ae0d760b94a5b3daedea9cdcb2ed0854a484c8ec3cded195e75037) [896ddb35cde29b51ec5cf0da0197605d5fd754c1f9f45e97d40cd287fb5a2d25](https://www.virustotal.com/gui/file/896ddb35cde29b51ec5cf0da0197605d5fd754c1f9f45e97d40cd287fb5a2d25) ### Domäner (Sorterat efter registreringsdatum) Domän Registreringsdatum army-govbd[.]info 08 april 2025 updates-installer[.]store 04 april 2025 dwnlld[.]com 26 mars 2025 bismi[.]pro 19 februari 2025 viewdoc[.]online 10 februari 2025 dwnlld[.]info 10 februari 2025 net-co[.]info 01 februari 2025 milqq[.]info 30 januari 2025 vpdf[.]online 20 januari 2025 org-co[.]net 20 januari 2025 nic-svc[.]net 17 januari 2025 live-co[.]org 17 januari 2025 org-liv[.]net 16 januari 2025 net-src[.]info 16 januari 2025 info-lanka[.]org 26 december 2024 onlinestatus[.]live 12 december 2024 modpak[.]live 24 september 2024 mail163[.]info 05 augusti 2024 ### Url (Sorterad efter senast uppdaterad) URL Senast uppdaterad advisory[.]army-govbd[.]info 08 april 2025 geninstr[.]army-govbd[.]info 08 april 2025 advisary[.]army-govbd[.]info 08 april 2025 amended[.]army-govbd[.]info 08 april 2025 mail[.]army-govbd[.]info 08 april 2025 emv1[.]army-govbd[.]info 08 april 2025 www[.]army-govbd[.]info 08 april 2025 pimec-paknavy[.]updates-installer[.]store 04 april 2025 hisidewinderSideWinder[.]pimec-paknavy[.]updates-installer[.]store 04 april 2025 imec-paknavy[.]updates-installer[.]store 04 april 2025 www-presidentsoffice-gov-lk[.]dwnlld[.]com 26 mars 2025 www-cbsl-gov-lk[.]dwnlld[.]com 26 mars 2025 email[.]sco[.]gov[.]pk[.]viewdoc[.]online 19 februari 2025 mod-gov-bd[.]dwnlld[.]info 10 februari 2025 moitt-gov-pk[.]dwnlld[.]info 10 februari 2025 mfa-gov-lk[.]dwnlld[.]info 10 februari 2025 www-cbsl-gov-lk[.]dwnlld[.]info 10 februari 2025 prison-gov-bd[.]dwnlld[.]info 10 februari 2025 bscic-gov-bd[.]dwnlld[.]info 10 februari 2025 cabinet-gov-bd[.]dwnlld[.]info 10 februari 2025 fa-gov-lk[.]dwnlld[.]info 10 februari 2025 infomfa-gov-lk[.]dwnlld[.]info 10 februari 2025 mofa-gov-bd[.]dwnlld[.]info 10 februari 2025 www-cbsl-gov-lk[.]dwnlld[.]infomfa-gov-lk[.]dwnlld[.]info 10 februari 2025 www-erd-gov-lk[.]dwnlld[.]info 10 februari 2025 xcfhg[.]dwnlld[.]info 10 februari 2025 mof-gov-np[.]dwnlld[.]info 10 februari 2025 6441056b613c32a9[.]dwnlld[.]info 10 februari 2025 www[.]dwnlld[.]info 10 februari 2025 dwnlld[.]infomfa-gov-lk[.]dwnlld[.]info 10 februari 2025 www-customs-gov-lk[.]net-co[.]info 10 februari 2025 customs-gov-lk[.]net-co[.]info 10 februari 2025 postmaster[.]net-co[.]info 10 februari 2025 www[.]customs-gov-lk[.]net-co[.]info 10 februari 2025 jtops[.]milqq[.]info 01 februari 2025 dirsports[.]milqq[.]info 01 februari 2025 mail[.]ntc[.]net[.]pk[.]vpdf[.]online 30 januari 2025 pubad-gov-lk[.]org-co[.]net 20 januari 2025 a5936441-e402-41e3-b02b-75af112074b5[.]org-co[.]net 20 januari 2025 esxipubad-gov-lk[.]org-co[.]net 20 januari 2025 mof-gov-bd[.]nic-svc[.]net 20 januari 2025 lolsidewinderSideWinder[.]nic-svc[.]net 20 januari 2025 wwww[.]nic-svc[.]net 20 januari 2025 www-erd-gov-lk[.]nic-svc[.]net 20 januari 2025 cabinet-gov-bd[.]nic-svc[.]net 20 januari 2025 wwww[.]www-erd-gov-lk[.]nic-svc[.]net 20 januari 2025 emrd-gov-bd[.]nic-svc[.]net 20 januari 2025 www-treasury-gov-lk[.]nic-svc[.]net 20 januari 2025 wwww-erd-gov-lk[.]nic-svc[.]net 20 januari 2025 www[.]treasury-gov-lk[.]nic-svc[.]net 20 januari 2025 treasury-gov-lk[.]nic-svc[.]net 20 januari 2025 mail-mofa-gov[.]org-liv[.]net 17 januari 2025 pubad-gov-lk[.]org-liv[.]net 17 januari 2025 cabinet-gov-bd[.]org-liv[.]net 17 januari 2025 cirt-gov-bd[.]org-liv[.]net 17 januari 2025 gov-lk[.]org-liv[.]net 17 januari 2025 mod-gov-bd[.]org-liv[.]net 17 januari 2025 www-treasury-gov-lk[.]org-liv[.]net 17 januari 2025 pubad-gov-lk[.]live-co[.]org 17 januari 2025 mofa-gov-bd[.]live-co[.]org 17 januari 2025 mod-gov-bd[.]live-co[.]org 17 januari 2025 data-sob-gov-bd[.]live-co[.]org 17 januari 2025 7ef1996f-c463-4540-936a-70d0fd477f98[.]live-co[.]org 17 januari 2025 mofa-gov-np[.]live-co[.]org 17 januari 2025 mofa-gov-np[.]org-liv[.]net 17 januari 2025 pubad-gov-lk[.]net-src[.]info 16 januari 2025 probashi-gov-bd[.]net-src[.]info 16 januari 2025 mofa-gov-np[.]net-src[.]info 16 januari 2025 modltr[.]info-lanka[.]org 16 januari 2025 www[.]info-lanka[.]org 16 januari 2025 mail[.]nepla[.]gov[.]np[.]onlinestatus[.]live 26 december 2024 mail[.]ntc[.]net[.]pk[.]onlinestatus[.]live 26 december 2024 mail[.]paf[.]gov[.]pk[.]onlinestatus[.]live 26 december 2024 mail[.]pof[.]gov[.]pk[.]onlinestatus[.]live 26 december 2024 paknavy[.]modpak[.]live 12 december 2024 interior-gov-pk[.]mail-govt[.]org 24 september 2024 www-cabinetoffice-gov-lk[.]mail-govt[.]org 24 september 2024 probashi-gov-bd[.]mail-govt[.]org 24 september 2024 gso2[.]mail163[.]info 05 augusti 2024 **YARA LIVE HUNTING RULE (VIRUSTOTAL)** import "vt" rule hunting_cve_maldocs { meta: author = "Acronis Threat Research Unit (TRU)" description = "Hunting for malicious Word/RTF files exploiting CVE-2017-0199 or CVE-2017-11882 from specific countries" distribution = "TLP:WHITE" version = "1.2" last_modified = "2025-05-13" condition: // Match if the file has CVE-2017-0199 or CVE-2017-11882 in the tags for any tag in vt.metadata.tags : ( tag == "cve-2017-0199" or tag == "cve-2017-11882" ) // Is the submitter from a specific country? and ( vt.metadata.submitter.country == "PK" or vt.metadata.submitter.country == "LK" or vt.metadata.submitter.country == "BD" or vt.metadata.submitter.country == "NP" or vt.metadata.submitter.country == "MM" or vt.metadata.submitter.country == "MV" or vt.metadata.submitter.country == "AF" or vt.metadata.submitter.country == "CN" ) // Is it a DOC, DOCX, or RTF? and ( vt.metadata.file_type == vt.FileType.DOC or vt.metadata.file_type == vt.FileType.DOCX or vt.metadata.file_type == vt.FileType.RTF ) and vt.metadata.new_file } ### REFERENSER [1] [SideWinder riktar in sig på sjöfarts- och kärnkraftssektorerna med en uppdaterad verktygssats - Kaspersky – mars 2025.](https://securelist.com/sidewinder-apt-updates-its-toolset-and-targets-nuclear-sector/115847/) [2] [SideWinder använder ny infrastruktur för att angripa mål och marina anläggningar i Medelhavet – BlackBerry – juli 2024.](https://blogs.blackberry.com/en/2024/07/sidewinder-targets-ports-and-maritime-facilities-in-the-mediterranean-sea) [3] [SideWinder använder polymorfism på serversidan för att attackera pakistanska regeringstjänstemän – och riktar sig nu mot Turkiet – BlackBerry - Maj 2023](https://blogs.blackberry.com/en/2023/05/sidewinder-uses-server-side-polymorphism-to-target-pakistan). Relaterade artiklar [Acronis Cyberthreats Update, April 2026](https://www.acronis.com/sv/tru/posts/acronis-cyberthreats-update-april-2026/) [Acronis Cyberthreats Update, Mars 2026](https://www.acronis.com/sv/tru/posts/acronis-cyberthreats-update-march-2026/) [Mobil spyware-kampanj efterliknar Israels raketvarningssystem Red Alert](https://www.acronis.com/sv/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Acronis Cyberthreats Update, Februari 2026](https://www.acronis.com/sv/tru/posts/acronis-cyberthreats-update-february-2026/)