SideCopy atakuje indyjskie uczelnie trojanem ReverseRAT, ostrzega Trellix

Grupa SideCopy rozszerzyła spear phishing z instytucji rządowych na indyjskie uczelnie. Poprawki nie ma, bo nie chodzi o lukę w konkretnym produkcie, tylko o kampanię phishingową, w której skrót uruchamia mshta.exe. Ofiara dostaje archiwum ZIP, a w nim skrót LNK z podmienioną ikoną PDF i nazwą commskll.docx.lnk. Skrót pobiera zaciemniony plik HTA z serwera docsportal[.]in i uruchamia go przez mshta.exe, co pozwala ominąć standardowe kontrole. Plik HTA ładuje refleksyjnie bibliotekę DLL, a potem kasuje się sam, żeby utrudnić analizę powłamaniową. Efektem jest trojan zdalnego dostępu ReverseRAT, który badacze Trellix nazywają centralnym elementem infrastruktury grupy.

Kogo dotyczy

Według Trellix celem są indyjskie instytucje akademickie. SideCopy działa od co najmniej 2019 roku, pochodzi z Pakistanu i pokrywa się z klastrem Transparent Tribe. Wcześniej brała na cel indyjskie siły zbrojne i urzędników, a w czerwcu 2026 roku Seqrite Labs przypisał jej kampanię przeciw ministerstwu finansów Afganistanu z trojanem Xeno RAT.