Τον Ιούνιο του 2023, οι ερευνητές της Kaspersky ανακάλυψαν ένα νέο πρόγραμμα loader με την ονομασία DarkGate, το οποίο διαθέτει μια σειρά από χαρακτηριστικά που ξεπερνούν τις τυπικές λειτουργίες των downloader. Ορισμένες από τις αξιοσημείωτες λειτουργίες του περιλαμβάνουν κρυφό VNC, παράκαμψη του Windows Defender, υποκλοπή του ιστορικού των προγραμμάτων περιήγησης, αντίστροφο proxy, πρόσβαση σε αρχεία αλλά και κλοπή token από το Discord. Η λειτουργία του DarkGate περιλαμβάνει μια διαδικασία που αποτελείται από τέσσερα ειδικά διαμορφωμένα μέρη, το οποία εξυπηρετούν την εκτέλεση του προγράμματος DarkGate. Tο συγκεκριμένο πρόγραμμα αποτελεί μοναδικό τρόπο κρυπτογράφησης με τη χρήση εξατομικευμένων κλειδιών, ενώ παράλληλα χρησιμοποιεί μια προσαρμοσμένη έκδοση της κωδικοποίησης Base64 που βασίζεται σε ένα ειδικό σύνολο χαρακτήρων.
Επιπλέον, η έρευνα της Kaspersky αναλύει μια από τις λειτουργίες του Emotet, ενός διαβόητου botnet που επανεμφανίστηκε υστέρα από την αντιμετώπισή του το 2021. Στην τωρινή έκδοση του Emotet, όταν οι χρήστες ανοίγουν κάποιο μολυσμένο αρχείο OneNote, τότε άθελά τους ενεργοποιούν το κεκαλυμμένο VBScript. Στη συνέχεια, το VBScript προσπαθεί να κατεβάσει επιβλαβές υλικό από διάφορους ισότοπους με σκοπό να επιτύχει την πλήρη πρόσβαση στο σύστημα. Αφού επιτύχει τον σκοπό του, το Emotet εγκαθιστά ένα DLL στον προσωρινό κατάλογο και στη συνέχεια το εκτελεί. Αυτό το DLL περιέχει κρυφές οδηγίες ή κάποιο shellcode μαζί με κρυπτογραφημένες λειτουργίες εισαγωγής. Αποκρυπτογραφώντας ένα συγκεκριμένο αρχείο, το Emotet αποκτά τον έλεγχο του συστήματος, επιτυγχάνοντας να θέσει σε λειτουργία το κακόβουλο λογισμικό.
Τέλος, η Kaspersky εντόπισε μια phishing εκστρατεία που στόχευε εταιρείες φορτηγών πλοίων μέσω του LokiBot. Πρόκειται για ένα infostealer που εντοπίστηκε για πρώτη φορά το 2016 και έχει σχεδιαστεί για να υποκλέπτει δεδομένα από διάφορες εφαρμογές, όπως για παράδειγμα κάποιο πρόγραμμα περιήγησης και FTP clients. Αυτά τα emails έφεραν ένα συνημμένο έγγραφο Excel, το οποίο προέτρεπε τους χρήστες να ενεργοποιήσουν μακροεντολές στο Excel. Οι επιτιθέμενοι εκμεταλλεύτηκαν μια γνωστή ευπάθεια (CVE-2017-0199) στο Microsoft Office, η οποία οδηγεί στη λήψη ενός εγγράφου RTF. Έπειτα, αυτό το έγγραφο RTF εκμεταλλεύεται μια ακόμα ευπάθεια (CVE-2017-11882) που οδηγεί στην εκτέλεση του malware, LokiBot.
«Η επανεμφάνιση του Emotet, η συνεχής παρουσία του Lokibot, καθώς και η εμφάνιση του DarkGate αποτελούν υπενθύμιση για τις εξελισσόμενες απειλές στον κυβερνοχώρο. Αυτοί οι τύποι κακόβουλου λογισμικού προσαρμόζονται και μπορούν να υιοθετήσουν νέες μεθόδους. Συνεπώς, είναι ζωτικής σημασίας για τους ιδιώτες και τις επιχειρήσεις να παραμείνουν σε επαγρύπνηση, επενδύοντας σε ισχυρές λύσεις κυβερνοασφάλειας. Η διαρκής έρευνα της Κaspersky και ο εντοπισμός των DarkGate, Emotet και Lokibot υπογραμμίζουν τη σημασία των προληπτικών μέτρων για την προστασία από τους εξελισσόμενους κινδύνους στον κυβερνοχώρο», σχολιάζει ο Jornt van der Wiel, ανώτερος ερευνητής ασφάλειας στην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky.
