Το SystemBC, ένα κακόβουλο λογισμικό που πωλείται σε underground αγορές, χρησιμοποιείται από ransomware-as-a-service (RaaS) επιχειρήσεις για την απόκρυψη κακόβουλου traffic και για την αυτοματοποίηση της παράδοσης του ransοmware payload στα δίκτυα των θυμάτων.
Το SystemBC εντοπίστηκε για πρώτη φορά το 2018 και χρησιμοποιήθηκε σε αρκετές καμπάνιες του 2019 ως “εικονικό ιδιωτικό δίκτυο“. Το malware επέτρεψε σε συμμορίες ransomware και στους συνεργάτες τους να αναπτύξουν ένα persistent backdoor στα συστήματα των θυμάτων με τη μορφή ενός Tor SOCKS5 proxy.
Αυτό τους βοήθησε να δημιουργήσουν obfuscated κανάλια επικοινωνίας για αυτοματοποιημένη παράδοση ransomware payload και εξαγωγή δεδομένων.
Το SystemBC χρησιμοποιείται από τη Ryuk και από την Egregor συμμορία
Οι ερευνητές της Sophos παρατήρησαν ότι το SystemBC malware είχε αναπτυχθεί σε όλες τις Ryuk και Egregor ransomware επιθέσεις, κατά τους τελευταίους μήνες.
 επιχειρήσεις για){kind=link}
“Βλέπουμε όλο και περισσότερο ότι οι χειριστές ransοmware αναπτύσσουν ransomware, με τη χρήση κακόβουλου λογισμικού και άλλων εργαλείων“, δήλωσε ο ερευνητής ασφαλείας της Sophos, Sean Gallagher σε μια έκθεση.
“Το SystemBC είναι μέρος των toolkits των ransomware συμμοριών. Η Sophos εντόπισε εκατοντάδες απόπειρες ανάπτυξης του SystemBC κατά τους τελευταίους μήνες“.
Οι ερευνητές ανακάλυψαν ότι η Ryuk ransοmware συμμορία αναπτύσσει το SystemBC στο domain controller μαζί με άλλα malware, όπως τα Buer Loader, BazarLoader και Zloader, ενώ οι χειριστές του Egregor χρησιμοποιούν το Qbot information stealer.
Αυτόματη ανάπτυξη ransomware payload
Οι χειριστές ransomware χρησιμοποιούν αυτό το backdoor ως εργαλείο απομακρυσμένης διαχείρισης (RAT) μαζί με το Cobalt Strike post-exploitation εργαλείο, μετά την απόκτηση πρόσβασης στα δίκτυα των θυμάτων.
Το SystemBC αυτοματοποιεί, επίσης, διάφορες εργασίες, όπως την ανάπτυξη ransοmware στα δίκτυα του στόχου, αφού πρώτα έχει κλέψει και απομακρύνει πληροφορίες.
Τέλος, οι εισβολείς το χρησιμοποιούν για την εκτέλεση εντολών σε μολυσμένες συσκευές Windows, καθώς και για την παράδοση κακόβουλων scripts, dynamic link libraries (DLLs) και scripts που εκτελούνται αυτόματα χωρίς να απαιτείται παρέμβαση των χειριστών.
Αυτές οι δυνατότητες του malware επιτρέπουν στους χειριστές των ransomware να πραγματοποιούν επιθέσεις που στοχεύουν πολλά θύματα κάθε φορά.
Παρόλο που ορισμένα Windows anti-malware εργαλεία εντοπίζουν και αποκλείουν τις προσπάθειες ανάπτυξης του SystemBC malware, οι συμμορίες ransomware μπορούν ακόμα να το εγκαταστήσουν στα δίκτυα των στόχων τους, χρησιμοποιώντας νόμιμα credentials που έχουν κλαπεί στα αρχικά στάδια των επιθέσεων.
“Η χρήση πολλαπλών εργαλείων σε ransomware-as-a-service επιθέσεις δημιουργεί ένα ολοένα και πιο διαφορετικό προφίλ επίθεσης που καθιστά δύσκολη την πρόβλεψη και την αντιμετώπισή της από τις ομάδες ασφαλείας“, δήλωσε ο Gallagher.
Οι ισχυρές λύσεις ασφαλείας, η εκπαίδευση των εργαζομένων και η συνεχής επαγρύπνηση είναι απαραίτητα για την αντιμετώπιση τέτοιων επιθέσεων.
Πηγή: Bleeping Computer