Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της Kaspersky αποκάλυψε μια νέα, εξελιγμένη κακόβουλη εκστρατεία πολλαπλών σταδίων, η οποία στοχεύει τόσο μεμονωμένους χρήστες όσο και οργανισμούς. Η εκστρατεία βασίζεται σε ένα μέχρι πρότινος άγνωστο είδος κακόβουλου λογισμικού, το οποίο διανέμεται μέσω torrent trackers με τη μορφή δημοφιλών ταινιών. Ανάμεσά τους βρίσκεται και η «Οδύσσεια» του Κρίστοφερ Νόλαν.
Ένα δημοφιλές δημόσιο αποθετήριο αρχείων torrent παραβιάστηκε και στη συνέχεια χρησιμοποιήθηκε για τη διανομή του κακόβουλου φορτίου (payload). Μεταξύ των θυμάτων που έχουν ήδη εντοπιστεί περιλαμβάνονται οργανισμοί από τον επιχειρηματικό και τον δημόσιο τομέα, καθώς και από τους κλάδους της πληροφορικής, της συμβουλευτικής, του λιανεμπορίου, των μεταφορών και της γεωργίας. Η εκστρατεία βρίσκεται σε εξέλιξη τουλάχιστον από τα μέσα Αυγούστου και παραμένει ενεργή.
Η ίδια η επίθεση ακολουθεί μια δομή πολλαπλών σταδίων, με επιμέρους στοιχεία που λειτουργούν συνδυαστικά σε διαφορετικές φάσεις της παραβίασης. Στο αρχικό στάδιο, το κακόβουλο λογισμικό χρησιμοποιεί έναν loader, ο οποίος μπορεί να εντοπίζει antivirus sandboxes, δηλαδή απομονωμένα περιβάλλοντα δοκιμών που χρησιμοποιούν οι λύσεις ασφαλείας για την ασφαλή εξέταση ύποπτων αρχείων. Με αυτόν τον τρόπο, μπορεί να διαπιστώνει εάν υποβάλλεται σε έλεγχο και, στην περίπτωση αυτή, να αποφεύγει τον εντοπισμό ή να δυσχεραίνει την περαιτέρω ανάλυσή του.
Μόλις ενεργοποιηθεί στη συσκευή του θύματος, εγκαθιστά πρόσθετες μονάδες που διευρύνουν τις δυνατότητές του. Οι μονάδες αυτές εξασφαλίζουν την παραμονή του στο σύστημα, επιτρέποντάς του να επανενεργοποιείται μετά από επανεκκίνηση, ακόμη και αν έχει προηγουμένως τερματιστεί.
Παράλληλα, μπορεί να παρακάμπτει τον Έλεγχο Λογαριασμού Χρήστη (User Account Control – UAC), αποκτώντας δικαιώματα διαχειριστή στα Windows χωρίς να εμφανίζεται η συνήθης προειδοποίηση. Τελικά, παρέχει στους δράστες απομακρυσμένη πρόσβαση στο παραβιασμένο σύστημα.
Για να ανακτήσει τη διεύθυνση του διακομιστή εντολών και ελέγχου (command-and-control server), το κακόβουλο λογισμικό αξιοποιεί το blockchain Solana. Η τεχνική αυτή προσφέρει στους επιτιθέμενους έναν πιο ανθεκτικό τρόπο διατήρησης του ελέγχου της υποδομής τους, καθιστώντας δυσκολότερη τη διακοπή της εκστρατείας μέσω ενεργειών αποκλεισμού ή απενεργοποίησης της σχετικής υποδομής.
«Η συγκεκριμένη εκστρατεία ξεχωρίζει, καθώς συνδυάζει ένα συνηθισμένο δόλωμα με έναν εξελιγμένο τεχνικό σχεδιασμό. Ενσωματώνοντας το κακόβουλο λογισμικό σε torrents δημοφιλών ταινιών, οι επιτιθέμενοι αυξάνουν τις πιθανότητες να το κατεβάσουν ανυποψίαστοι χρήστες. Μόλις ενεργοποιηθεί, το κακόβουλο λογισμικό πολλαπλών σταδίων έχει σχεδιαστεί ώστε να αποφεύγει τον εντοπισμό, να διασφαλίζει την παραμονή του στο σύστημα και να παρέχει στους επιτιθέμενους απομακρυσμένη πρόσβαση στις μολυσμένες συσκευές. Οι χρήστες θα πρέπει να είναι ιδιαίτερα προσεκτικοί με τα αρχεία που κατεβάζουν από ανεπίσημες πηγές, καθώς ακόμη και φαινομενικά ακίνδυνο ψυχαγωγικό περιεχόμενο μπορεί να χρησιμοποιηθεί ως μέσο παραβίασης», αναφέρει ο Konstantin Isakov, ειδικός σε θέματα ασφάλειας στην Kaspersky GReAT.
Οι λύσεις ασφαλείας της Kaspersky εντοπίζουν το συγκεκριμένο κακόβουλο λογισμικό. Η πλήρης τεχνική ανάλυση είναι διαθέσιμη στο Securelist.com.
Για την προστασία των χρηστών, η Kaspersky συνιστά:
• Να είστε προσεκτικοί με τα αρχεία που κατεβάζετε. Προτιμάτε να εγκαθιστάτε παιχνίδια και mods αποκλειστικά από επίσημες ή άλλες αξιόπιστες πηγές, καθώς οι ανεπίσημες πηγές ενδέχεται να περιέχουν κακόβουλο λογισμικό.
• Να χρησιμοποιείτε μια αξιόπιστη λύση ασφαλείας, όπως το Kaspersky Premium, σε όλους τους υπολογιστές και τις κινητές συσκευές σας. Μια ισχυρή λύση ασφαλείας μπορεί να προειδοποιεί για πιθανές απειλές και να αποτρέπει τη μόλυνση της συσκευής.
• Μην απενεργοποιείτε ποτέ τα εργαλεία ασφαλείας ή το antivirus για να κατεβάσετε αρχεία ή κάποιο λογισμικό.
Για τις επιχειρήσεις, η Kaspersky συνιστά:
• Να θέτουν σαφείς κανονισμούς για τη χρήση λογισμικού από εξωτερικούς παρόχους στις εταιρικές συσκευές.
• Να αξιοποιούν ολοκληρωμένες λύσεις ασφαλείας από τη σειρά Kaspersky Next, οι οποίες προσφέρουν προστασία σε πραγματικό χρόνο, συνολική εικόνα των απειλών, καθώς και δυνατότητες διερεύνησης και αντιμετώπισης περιστατικών μέσω EPP, EDR και XDR. Ανάλογα με τις ανάγκες και τους διαθέσιμους πόρους τους, οι οργανισμοί μπορούν να επιλέξουν τη λύση που ανταποκρίνεται καλύτερα στις απαιτήσεις τους και να την προσαρμόσουν ή να την αλλάξουν εύκολα, εφόσον οι ανάγκες τους μεταβληθούν.
• Να παρέχουν μια ολοκληρωμένη εικόνα για τις κυβερνοαπειλές που αντιμετωπίζει η επιχείρησή τους στις ομάδες ασφάλειας πληροφοριών. Η τελευταία έκδοση του Kaspersky Threat Intelligence προσφέρει ουσιαστική και χρήσιμη ενημέρωση σε όλα τα στάδια διαχείρισης ενός περιστατικού και βοηθά στον έγκαιρο εντοπισμό των ψηφιακών επιλών.
• Να αξιοποιούν υπηρεσίες κυβερνοασφάλειας που παρέχονται από εξειδικευμένους συνεργάτες, όπως οι υπηρεσίες Compromise Assessment, Managed Detection and Response και/ή Incident Response, εφόσον η εταιρεία δεν διαθέτει το κατάλληλο εξειδικευμένο προσωπικό. Οι υπηρεσίες αυτές καλύπτουν ολόκληρο τον κύκλο διαχείρισης περιστατικών, από τον εντοπισμό της απειλής έως τη συνεχή προστασία και την αποκατάσταση.
