Η νέα περίπλοκη εκστρατεία malware DEEP#GOSU, χρησιμοποιεί κακόβουλο λογισμικό PowerShell και VBScript για να μολύνει συστήματα Windows και να συλλέξει ευαίσθητες πληροφορίες.
Δείτε επίσης: Κακόβουλα Google ads εξαπατούν τους χρήστες Mac να εγκαταστήσουν το Atomic Stealer malware
Η εταιρεία κυβερνοασφάλειας Securonix, η οποία έδωσε το όνομα στην εκστρατεία, δήλωσε ότι είναι πιθανό να συνδέεται με μία ομάδα χάκερ που υποστηρίζεται από το κράτος της Βόρειας Κορέας γνωστή ως Kimsuky.
Ένα σημαντικό στοιχείο της διαδικασίας μόλυνσης της εκστρατεία malware DEEP#GOSU, είναι ότι εκμεταλλεύεται νόμιμες υπηρεσίες όπως το Dropbox ή το Google Docs για τον έλεγχο εντολών (C2), επιτρέποντας έτσι στον κακόβουλο φορέα να αναμειχθεί στην κανονική κυκλοφορία του δικτύου.
Ανακαλύψτε το Νέο Ανθρωποειδές Ρομπότ GR-2!
Εκτός από αυτό, η χρήση τέτοιων υπηρεσιών cloud για τη “σκηνοθεσία” των φορτίων επιτρέπει την ενημέρωση της λειτουργικότητας του κακόβουλου λογισμικού ή την παράδοση επιπλέον modules.
Αρχικό σημείο αναφέρεται ότι είναι ένα κακόβουλο συνημμένο email που περιέχει ένα ZIP αρχείο με ένα ψεύτικο αρχείο συντόμευσης (.LNK) που προσποιείται ότι είναι ένα PDF (“IMG_20240214_0001.pdf.lnk“).
Το αρχείο .LNK περιλαμβάνει ένα σενάριο PowerShell καθώς και ένα έγγραφο PDF, με το πρώτο να επικοινωνεί επίσης με υποδομές Dropbox που ελέγχονται από τον χάκερ, προκειμένου να ανακτήσει και να εκτελέσει ένα άλλο σενάριο PowerShell (“ps.bin”).
Το δεύτερο PowerShell script φέρνει ένα νέο αρχείο από το Dropbox (“r_enc.bin“), ένα αρχείο συλλογής .NET σε δυαδική μορφή που στην πραγματικότητα είναι ένα ανοικτού κώδικα trojan γνωστό ως TruRat (επίσης γνωστό ως TutRat ή C# RAT) με δυνατότητες εγγραφής πληκτρολογίου, διαχείρισης αρχείων και διευκόλυνσης απομακρυσμένου ελέγχου.
Δείτε ακόμα: Τα “TicTacToe Dropper” χρησιμοποιούνται για τη διανομή malware
Είναι σημαντικό να σημειώσουμε ότι η Kimsuky χρησιμοποίησε το TruRat σε τουλάχιστον δύο καμπάνιες που αποκαλύφθηκαν το προηγούμενο έτος από το AhnLab (ASEC).
Επίσης το σενάριο PowerShell της εκστρατείας malware DEEP#GOSU, ανακτά ένα VBScript (“info_sc.txt”), το οποίο, με τη σειρά του, έχει σχεδιαστεί να εκτελεί αυθαίρετο κώδικα VBScript που ανακτήθηκε από την υπηρεσία αποθήκευσης στο cloud, συμπεριλαμβανομένου ενός σεναρίου PowerShell (“w568232.ps12x”).
Το VBScript σχεδιάστηκε επίσης για να χρησιμοποιεί το Windows Management Instrumentation (WMI) για την εκτέλεση εντολών στο σύστημα και τη δημιουργία προγραμματισμένων εργασιών για μόνιμη λειτουργία.
Ένα άλλο σημαντικό στοιχείο του VBScript είναι η χρήση του Google Docs για τη δυναμική ανάκτηση δεδομένων διαμόρφωσης για τη σύνδεση με το Dropbox, επιτρέποντας στον απειλούμενο φορέα να αλλάξει τα στοιχεία λογαριασμού χωρίς να χρειαστεί να τροποποιήσει το ίδιο το σενάριο.
Το σενάριο PowerShell που λήφθηκε ως αποτέλεσμα είναι εξοπλισμένο για να συλλέγει εκτεταμένες πληροφορίες σχετικά με το σύστημα και να φέρει τις λεπτομέρειες μέσω αίτησης POST στο Dropbox. Στην ουσία, λειτουργεί ως ένα backdoor για τον έλεγχο των παραβιασμένων hosts και για την συνεχή καταγραφή της δραστηριότητας του χρήστη, συμπεριλαμβανομένων των πληκτρολογήσεων, του περιεχομένου του πρόχειρου και του παραθύρου που βρίσκεται στο προσκήνιο.
Δείτε επίσης: Οικογένειες malware προσαρμόζονται στην τεχνική COM Hijacking
Ποια μέτρα πρόληψης μπορούν να ληφθούν για την αποφυγή του malware;
Ένα από τα πιο σημαντικά μέτρα προστασίας από εκστρατείες malware, όπως η DEEP#GOSU, είναι η εγκατάσταση ενός αξιόπιστου λογισμικού ασφαλείας. Αυτό περιλαμβάνει ένα antivirus, ένα τείχος προστασίας και ένα λογισμικό ανίχνευσης spyware. Τα λογισμικά αυτά θα πρέπει να ενημερώνονται τακτικά για να μπορούν να αντιμετωπίσουν τις τελευταίες απειλές. Επιπλέον, είναι σημαντικό να διατηρείτε το λειτουργικό σύστημα και όλες τις εφαρμογές σας ενημερωμένες. Η χρήση δυνατών κωδικών πρόσβασης και η αλλαγή τους τακτικά είναι άλλος ένας τρόπος για να προστατευτείτε από το malware. Προσέχετε τα emails και τα μηνύματα που λαμβάνετε. Πολλά malware εξαπλώνονται μέσω phishing emails ή μηνυμάτων που περιέχουν επικίνδυνους συνδέσμους ή συνημμένα. Τέλος, προσέχετε τις ιστοσελίδες που επισκέπτεστε και τα αρχεία που κατεβάζετε.
Πηγή: thehackernews
