Άγνωστοι μέχρι στιγμής hackers, στοχεύουν Γερμανούς χρήστες που υποστηρίζουν την Ουκρανία, μολύνοντάς τους με ένα προσαρμοσμένο PowerShell RAT και κλέβοντας δεδομένα τους.
Δείτε επίσης: Nerbian RAT: Νέο malware διανέμεται μέσω emails με θέμα τον COVID-19
Η ομάδα χρησιμοποιεί έναν ιστότοπο ως δόλωμα για να παρασύρει τους χρήστες σε δελτία ψευδών ειδήσεων, που υποτίθεται ότι περιέχουν ακυκλοφόρητες πληροφορίες σχετικά με την κατάσταση στην Ουκρανία.
Αυτοί οι ιστότοποι ωστόσο περιέχουν κακόβουλα έγγραφα που εγκαθιστούν ένα προσαρμοσμένο RAT, το οποίο επιτρέπει απομακρυσμένη εκτέλεση εντολών και λειτουργιών.
Η εκστρατεία αποκαλύφθηκε από αναλυτές απειλών της Malwarebytes, οι οποίοι παρείχαν όλες τις λεπτομέρειες και τους δείκτες παραβίασης στην έρευνά τους.
Ο τομέας που χρησιμοποιείται σε αυτές τις επιθέσεις είναι ο “collaboration-bw[.]de“, τον οποίο ο παράγοντας απειλής κατέγραψε όταν έληξε ο τομέας και στη συνέχεια κλωνοποίησε την εμφάνιση του πραγματικού ιστότοπου.
Οι επισκέπτες του ιστότοπου βλέπουν ένα αρχείο που ονομάζεται “2022-Q2-Bedrohungslage-Ukraine“, το οποίο υπόσχεται πληροφορίες για την κατάσταση στην Ουκρανία και προσφέρεται για δωρεάν λήψη.
Η αντίστοιχη ενότητα στον ιστότοπο υποστηρίζει ότι το έγγραφο ενημερώνεται συνεχώς με νέες πληροφορίες, επομένως οι χρήστες προτρέπονται να λαμβάνουν ένα νέο αντίγραφο κάθε μέρα.
Δείτε ακόμα: DCRat: Αυτό το φθηνό malware είναι εκπληκτικά αποτελεσματικό
Το ληφθέν αρχείο ZIP περιέχει ένα αρχείο CHM που αποτελείται από πολλά μεταγλωττισμένα αρχεία HTML. Εάν το θύμα το ανοίξει, εμφανίζεται ένα ψευδές μήνυμα σφάλματος.
Στο παρασκήνιο ωστόσο, το αρχείο ενεργοποιεί το PowerShell που εκτελεί ένα Base64 deobfuscator που οδηγεί στην ανάκτηση και εκτέλεση ενός κακόβουλου σεναρίου από τον ψεύτικο ιστότοπο.
Το σενάριο τελικά ρίχνει δύο αρχεία στον υπολογιστή του θύματος: Το RAT σε μορφή αρχείου .txt και ένα αρχείο .cmd που βοηθά στην εκτέλεσή του μέσω του PowerShell.
Το προσαρμοσμένο PowerShell RAT που κρύβεται στο “Status.txt” ξεκινά την κακόβουλη λειτουργία του συλλέγοντας βασικές πληροφορίες συστήματος και εκχωρώντας ένα μοναδικό αναγνωριστικό πελάτη.
Αυτές οι πληροφορίες και οτιδήποτε άλλο κλαπεί από τους κεντρικούς υπολογιστές διοχετεύεται σε έναν γερμανικό τομέα, “kleinm[.]de“.
Για να παρακάμψει το Windows AMSI (Διασύνδεση σάρωσης κατά του κακόβουλου λογισμικού), το RAT χρησιμοποιεί μια κρυπτογραφημένη λειτουργία AES που ονομάζεται “bypass“, που αποκρυπτογραφείται χρησιμοποιώντας ένα κλειδί που δημιουργείται.
Δείτε επίσης: Phishing emails στοχεύουν τράπεζες και διανέμουν το Remcos RAT
Οι κύριες δυνατότητες του RAT είναι:
- Λήψη αρχείων από τον διακομιστή C2
- Ανέβασμα αρχείων στον διακομιστή C2
- Φόρτωση και εκτέλεση ενός σεναρίου PowerShell
- Εκτέλεση μιας συγκεκριμένης εντολής
Οι χρήστες προειδοποιούνται να είναι προσεκτικοί με τις λήψεις αρχείων από τον Ιστό, καθώς ακόμη και γνωστοί και προηγουμένως αξιόπιστοι ιστότοποι μπορεί να έχουν αλλάξει αθόρυβα χέρια.
Όσον αφορά τους ειδησεογραφικούς ιστότοπους όπως αυτός, η προσφορά ιστοριών σε μορφή αρχείου αντί να φιλοξενούνται τα πάντα σε μια ιστοσελίδα, σπάνια είναι νόμιμη, επομένως θεωρήστε το σαν καμπανάκι κινδύνου.
