Το κιτ malware Atroposia αυξάνει το κυβερνοέγκλημα

Το κυβερνοέγκλημα γίνεται ολοένα και πιο εμπορευματοποιημένο, μειώνοντας σημαντικά το επίπεδο για τους χάκερ και δυσκολεύοντας τα πράγματα για τους υπερασπιστές. Οι ερευνητές της Varonis ανακάλυψαν ένα κιτ εργαλείων plug-and-play, που ονομάζεται Atroposia, το οποίο μπορεί να χρησιμοποιηθεί αποτελεσματικά ακόμη και από τον λιγότερο έμπειρο απειλητικό παράγοντα με μόλις 200 δολάρια το μήνα.

Δείτε επίσης: Νέο Phishing Kit αυτοματοποιεί τη διαδικασία επίθεσης ClickFix

Το trojan απομακρυσμένης πρόσβασης (RAT) χρησιμοποιεί σχεδόν αόρατα εργαλεία και κρυπτογραφημένα κανάλια εντολών για να διεισδύσει σε συστήματα, να τα σαρώσει για περισσότερες ευπάθειες προς εκμετάλλευση, να κλέψει διαπιστευτήρια, να παρακολουθήσει τη δραστηριότητα των χρηστών και να καταλάβει μηχανές κατά βούληση.

Πώς λειτουργεί το Atroposia

Το Atroposia προωθείται σε υπόγεια φόρουμ ως “ένα πλήρες σύνολο επιθετικών δυνατοτήτων.” Αυτές περιλαμβάνουν κρυφή απομακρυσμένη κατάληψη επιφάνειας εργασίας, σάρωση ευπαθειών, πλήρη απομακρυσμένη απενεργοποίηση συστήματος, επανεκκίνηση και δυνατότητες sleep, κλοπή διαπιστευτηρίων και παράκαμψη προνομίων, απαγωγή υπηρεσίας ονομάτων τομέα (DNS) και εξόδους σφαλμάτων, αναφορών και ενεργειών (μεταξύ άλλων). Το πάνελ ελέγχου και ο κατασκευαστής προσθηκών το καθιστούν “εκπληκτικά εύκολο” στη λειτουργία, σύμφωνα με τους ερευνητές της Varonis, και είναι χαμηλού κόστους: 200 δολάρια το μήνα, 500 δολάρια για τρεις μήνες ή 900 δολάρια για έξι μήνες.

Όλες οι επικοινωνίες διακομιστή εντολών και ελέγχου (C2) είναι κρυπτογραφημένες και το κακόβουλο λογισμικό μπορεί να κλιμακώσει τα προνόμια μέσω παράκαμψης ελέγχου λογαριασμού χρήστη (UAC) για να αποκτήσει δικαιώματα διαχειριστή και να εγκαταστήσει μηχανισμούς που επιβιώνουν από επανεκκινήσεις συστήματος. Η κρυφή απομακρυσμένη επιφάνεια εργασίας του πακέτου, “HRDP Connect,” δημιουργεί αόρατες συνεδρίες, ώστε οι χρήστες να μην έχουν ένδειξη ότι έχουν παραβιαστεί.

Οι χάκερ μπορούν να ανοίξουν εφαρμογές, να δουν ευαίσθητα έγγραφα και email, να κατεβάσουν ή να διαγράψουν δεδομένα και να χειριστούν ροές εργασίας, ως ένας “σιωπηλός άνθρωπος στην επιφάνεια εργασίας.” Ο ενσωματωμένος σαρωτής ευπαθειών του Atroposia ελέγχει και εντοπίζει ελλείποντα patches λογισμικού, μη ασφαλείς ρυθμίσεις, σφάλματα και παρωχημένους πελάτες VPN. Τα αποτελέσματα παρέχονται ως βαθμολογία ή αναφορά, δίνοντας ουσιαστικά στον επιτιθέμενο μια εικόνα των ευπαθειών του συστήματος.

Δείτε ακόμα: Νέο ‘Point-and-Click’ Phishing Kit παρακάμπτει φίλτρα ασφαλείας

Το Atroposia έχει σχεδιαστεί για να λειτουργεί απευθείας στη μνήμη και να εξάγει μαζικά πληροφορίες. Το κάνει αυτό με μια μονάδα αρπαγής που αναζητά αρχεία κατά επέκταση ή λέξη-κλειδί (όπως όλα τα αρχεία PDF ή CSV), και στη συνέχεια τα συμπιέζει σε ένα αρχείο ZIP με προστασία κωδικού πρόσβασης για εξαγωγή, εξηγούν οι ερευνητές της Varonis. Αυτή η τακτική αφήνει λίγα ίχνη. Το πακέτο επιτρέπει επίσης στους απειλητικούς παράγοντες να παρακολουθούν τα πρόχειρα των θυμάτων σε πραγματικό χρόνο και να καταγράφουν οποιαδήποτε κομμένη και επικολλημένη πληροφορία.

Επιπλέον, οι επιτιθέμενοι μπορούν να εκτελέσουν “απαγωγή DNS” για να ανακατευθύνουν την κυκλοφορία, να εισάγουν διαφημίσεις ή κακόβουλο λογισμικό, να αναπτύξουν ψεύτικες ενημερώσεις λογισμικού και να δημιουργήσουν ανοίγματα για εκστρατείες phishing και man-in-the-middle.

Το Atroposia είναι ένα από έναν αυξανόμενο αριθμό εργαλείων RAT που στοχεύουν επιχειρήσεις. Η Varonis έχει επίσης πρόσφατα ανακαλύψει το SpamGPT και το MatrixPDF, μια πλατφόρμα spam-as-a-service και έναν κακόβουλο κατασκευαστή PDF, αντίστοιχα. Το Mirai, που χρονολογείται από το 2016, είναι πιθανώς το πιο επιτυχημένο παράδειγμα. Ωστόσο, το Atroposia σηματοδοτεί ένα “σημαντικό βήμα” στην εξέλιξη των εργαλείων απομακρυσμένης πρόσβασης, καθώς συνδυάζει αρκετές προηγμένες δυνατότητες σε ένα ενιαίο πακέτο plug-and-play. Ιδιαίτερα, η ενσωμάτωση σάρωσης ευπαθειών πριν ακόμη ο επιτιθέμενος κινηθεί πλευρικά είναι μια “σημαντική κλιμάκωση.”

Επειδή το Atroposia χρησιμοποιεί κρυπτογραφημένα κανάλια εντολών και συχνά κρύβει τη διεπαφή χρήστη του (UI), οι υπερασπιστές πρέπει να αναζητούν ανωμαλίες όπως ανεξήγητες σκιώδεις συνεδρίες απομακρυσμένου πρωτοκόλλου επιφάνειας εργασίας (RDP), απροσδόκητες αλλαγές εγγραφών DNS, τοπικές σαρώσεις ευπαθειών και ασυνήθιστη δραστηριότητα πρόχειρου. Συστήνεται επίσης η επικύρωση του αποθέματος περιουσιακών στοιχείων, ο έλεγχος για άγνωστους ακροατές ή υπηρεσίες απομακρυσμένης επιφάνειας εργασίας, η συσχέτιση ανώμαλης συμπεριφοράς χρηστών (ειδικά γύρω από την κλιμάκωση προνομίων ή τη χρήση διαπιστευτηρίων) και η ενσωμάτωση τηλεμετρίας πρόσβασης δεδομένων (όπως αναζήτηση αρχείων, συμπίεση και εξαγωγή) στη λογική ειδοποίησης.

Δείτε επίσης: MatrixPDF: Νέο kit μετατρέπει PDF σε phishing και malware δολώματα

Η πολυπαραγοντική αυθεντικοποίηση (MFA) είναι επίσης κρίσιμη, όπως και ο περιορισμός των λογαριασμών διαχειριστή και η απομόνωση των τελικών σημείων.