Το Υπουργείο Άμυνας των ΗΠΑ και η CISA δημοσίευσαν μια έκθεση σχετικά με μια νέα παραλλαγή malware, που ονομάζεται SLOTHFULMEDIA.
Η έκθεση παρέχει τεχνικές λεπτομέρειες σχετικά με την απειλή, προτάσεις για δράσεις αντιμετώπισης και συμβουλές για την πρόληψη μολύνσεων.
“Το δείγμα είναι ένα dropper, το οποίο αναπτύσσει δύο αρχεία κατά την εκτέλεση. Το πρώτο είναι ένα εργαλείο απομακρυσμένης πρόσβασης (RAT) με το όνομα “mediaplayer.exe“. Η ανάλυση έδειξε ότι το RAT έχει τη δυνατότητα να τερματίζει διαδικασίες, να εκτελεί εντολές, να λαμβάνει screenshots και να τροποποιεί αρχεία σε μηχανήματα θυμάτων“, λέει η έκθεση.
Όσον αφορά στο δεύτερο αρχείο, οι ειδικοί παρατήρησαν ότι έχει ένα τυχαίο όνομα πέντε χαρακτήρων, το οποίο έχει σχεδιαστεί για να διαγράφει το dropper, μόλις το RAT αποκτήσει πρόσβαση στο μηχάνημα-στόχο. Το RAT παραμένει στο μηχάνημα, καθώς δημιουργείται μια υπηρεσία με το όνομα “Task Frame“, που εξασφαλίζει ότι το RAT φορτώνεται μετά την επανεκκίνηση.
Σύμφωνα με την έκθεση, το SlothfulMedia malware έχει χρησιμοποιηθεί ήδη από μια εξελιγμένη hacking ομάδα. Το RAT επιτρέπει στους επιτιθέμενους να εκτελούν εντολές, να τερματίζουν διαδικασίες, να κάνουν αλλαγές σε αρχεία και άλλα. Επίσης, επικοινωνεί με τον C2 controller του μέσω Hypertext Transfer Protocol (HTTP) στο Transmission Control Protocol (TCP).
Οι κυβερνητικές υπηρεσίες προτείνουν στους χρήστες και τους διαχειριστές να αναφέρουν πιθανές δραστηριότητες που σχετίζονται με το SLOTHFULMEDIA malware, καθώς οι επιθέσεις αυτές μπορεί να είναι πολύ επικίνδυνες.
Το malware αναφέρθηκε και στο VirusTotal.
Η έκθεση για το SLOTHFULMEDIA δεν παρέχει πληροφορίες σχετικά με τους hackers που το δημιούργησαν. Οι κυβερνητικές υπηρεσίες αποκάλυψαν μόνο ότι το malware έχει χρησιμοποιηθεί σε επιθέσεις εναντίον οργανισμών στην Ινδία, το Καζακστάν, το Κιργιστάν, τη Μαλαισία, τη Ρωσία και την Ουκρανία.
Το SecurityWeek, επικαλούμενο την εταιρεία ασφαλείας ESET, ανέφερε πιθανή σχέση του SLOTHFULMEDIA RAT με τη hacking ομάδα PowerPool. Η συγκεκριμένη ομάδα εντοπίστηκε τον Αύγουστο του 2018, καθώς εκμεταλλευόταν μια zero-day ευπάθεια των Windows. Τότε, οι hackers στόχευαν οργανισμούς στις Ηνωμένες Πολιτείες, το Ηνωμένο Βασίλειο, τη Γερμανία, την Ουκρανία, τη Χιλή, την Ινδία, τη Ρωσία, τις Φιλιππίνες και την Πολωνία.
Σύμφωνα με το SecurityAffairs, η PowerPool πραγματοποιεί κυρίως spear-phishing επιθέσεις. Η Eset είπε ότι η ομάδα ήταν υπεύθυνη για μια spam εκστρατεία τον Μάιο του 2018 που χρησιμοποίησε Symbolic Link (.slk) files για τη διάδοση κακόβουλου κώδικα.