Οι κυβερνοεπιθέσεις δελεάζουν διπλωμάτες της ΕΕ με προσφορές οινογευσίας

Οι Ευρωπαίοι είναι γνωστό ότι απολαμβάνουν το καλό κρασί, ένα πολιτιστικό χαρακτηριστικό που χρησιμοποιείται εναντίον τους από τους επιτιθέμενους πίσω από μια πρόσφατη εκστρατεία απειλής. Η επιχείρηση στον κυβερνοχώρο είχε στόχο να παραδώσει α μυθιστόρημα πίσω πόρτα δελεάζοντας διπλωμάτες της Ευρωπαϊκής Ένωσης (ΕΕ) με μια ψεύτικη εκδήλωση γευσιγνωσίας.

Ερευνητές στο Zscaler's ThreatLabz ανακάλυψαν την εκστρατεία, η οποία στόχευε συγκεκριμένα αξιωματούχους από χώρες της ΕΕ με ινδικές διπλωματικές αποστολές, έγραψαν σε ένα blog post Δημοσιεύθηκε στις 27 Φεβρουαρίου. Ο ηθοποιός - που ονομάστηκε κατάλληλα "SpikedWine" - χρησιμοποίησε ένα αρχείο PDF σε email που υποτίθεται ότι ήταν μια επιστολή πρόσκλησης από τον πρέσβη της Ινδίας, προσκαλώντας διπλωμάτες σε μια εκδήλωση γευσιγνωσίας κρασιού στις 2 Φεβρουαρίου.

«Πιστεύουμε ότι ένας παράγοντας απειλής έθνους-κράτους, που ενδιαφέρεται να εκμεταλλευτεί τις γεωπολιτικές σχέσεις μεταξύ της Ινδίας και των διπλωματών στα ευρωπαϊκά έθνη, πραγματοποίησε αυτήν την επίθεση», έγραψαν στην ανάρτηση οι ερευνητές του Zscaler ThreatLabz, Sudeep Singh και Roy Tay.

Το ωφέλιμο φορτίο της καμπάνιας είναι α κερκόπορτα που οι ερευνητές ονόμασαν "WineLoader", το οποίο έχει αρθρωτό σχεδιασμό και χρησιμοποιεί τεχνικές ειδικά για να αποφύγει τον εντοπισμό. Αυτά περιλαμβάνουν την εκ νέου κρυπτογράφηση και τον μηδενισμό των buffer μνήμης, τα οποία χρησιμεύουν για τη φύλαξη ευαίσθητων δεδομένων στη μνήμη και την αποφυγή λύσεων εγκληματολογίας της μνήμης, σημείωσαν οι ερευνητές.

Το SpikedWine χρησιμοποίησε παραβιασμένους ιστότοπους για εντολή και έλεγχο (C2) σε πολλαπλά στάδια της αλυσίδας επίθεσης, η οποία ξεκινά όταν ένα θύμα κάνει κλικ σε έναν σύνδεσμο στο PDF και τελειώνει με την αρθρωτή παράδοση του WineLoader. Συνολικά, οι κυβερνοεπιτιθέμενοι έδειξαν υψηλό επίπεδο πολυπλοκότητας τόσο στη δημιουργική δημιουργία της κοινωνικά σχεδιασμένης εκστρατείας όσο και στο κακόβουλο λογισμικό, είπαν οι ερευνητές.

Το SpikedWine αποκαλύπτει πολλαπλές φάσεις κυβερνοεπίθεσης

Ο Zscaler ThreatLabz ανακάλυψε το αρχείο PDF — την πρόσκληση σε μια υποτιθέμενη δοκιμή κρασιού στην κατοικία του Ινδού πρέσβη — που ανέβηκε στο VirusTotal από τη Λετονία στις 30 Ιανουαρίου. Οι επιτιθέμενοι δημιούργησαν προσεκτικά το περιεχόμενο για να υποδυθούν τον πρεσβευτή της Ινδίας και η πρόσκληση περιλαμβάνει κακόβουλο σύνδεσμο σε ένα πλαστό ερωτηματολόγιο με την προϋπόθεση ότι πρέπει να συμπληρωθεί για να συμμετάσχετε.

Το κλικ — εσφαλμένα, κάνοντας κλικ — στον σύνδεσμο ανακατευθύνει τους χρήστες σε έναν παραβιασμένο ιστότοπο που προχωρά στη λήψη ενός αρχείου zip που περιέχει ένα αρχείο που ονομάζεται "wine.hta". Το ληφθέν αρχείο περιέχει ασαφή κώδικα JavaScript που εκτελεί το επόμενο στάδιο της επίθεσης.

Τελικά, το αρχείο εκτελεί ένα αρχείο με το όνομα sqlwriter.exe από τη διαδρομή: C:WindowsTasks για να ξεκινήσει η αλυσίδα μόλυνσης της κερκόπορτας WineLoader φορτώνοντας ένα κακόβουλο DLL με το όνομα vcruntime140.dll. Αυτό με τη σειρά του εκτελεί μια εξαγόμενη συνάρτηση set_se_translator, το οποίο αποκρυπτογραφεί την ενσωματωμένη μονάδα πυρήνα WineLoader εντός του DLL χρησιμοποιώντας ένα σκληρό κωδικοποιημένο κλειδί RC256 4 byte προτού το εκτελέσει.

WineLoader: Modular, Persistent Backdoor Malware

Το WineLoader έχει πολλές ενότητες, καθεμία από τις οποίες αποτελείται από δεδομένα διαμόρφωσης, ένα κλειδί RC4 και κρυπτογραφημένες συμβολοσειρές, ακολουθούμενες από τον κωδικό της μονάδας. Οι ενότητες που παρατήρησαν οι ερευνητές περιλαμβάνουν μια βασική ενότητα και μια ενότητα επιμονής.

Η βασική μονάδα υποστηρίζει τρεις εντολές: την εκτέλεση μονάδων από τον διακομιστή εντολών και ελέγχου (C2) είτε συγχρονισμένα είτε ασύγχρονα. την ένεση της κερκόπορτας σε άλλο DLL. και την ενημέρωση του διαστήματος ύπνου μεταξύ των αιτημάτων beacon.

Η ενότητα επιμονής έχει ως στόχο να επιτρέπει η πίσω πόρτα να εκτελείται σε συγκεκριμένα χρονικά διαστήματα. Προσφέρει επίσης μια εναλλακτική ρύθμιση παραμέτρων για τη δημιουργία εμμονής μητρώου σε άλλη τοποθεσία σε ένα στοχευμένο μηχάνημα.

Οι τακτικές αποφυγής του Cyberttacker

Το WineLoader έχει μια σειρά από λειτουργίες που στοχεύουν ειδικά στην αποφυγή ανίχνευσης, επιδεικνύοντας ένα αξιοσημείωτο επίπεδο πολυπλοκότητας από το SpikedWine, είπαν οι ερευνητές. Κρυπτογραφεί τη βασική μονάδα και τις επόμενες μονάδες που λαμβάνονται από τον διακομιστή C2, τις συμβολοσειρές και τα δεδομένα που αποστέλλονται και λαμβάνονται από το C2 — με ένα κλειδί RC256 4 byte με σκληρό κώδικα.

Το κακόβουλο λογισμικό αποκρυπτογραφεί επίσης ορισμένες συμβολοσειρές κατά τη χρήση που στη συνέχεια κρυπτογραφούνται εκ νέου αμέσως μετά, είπαν οι ερευνητές. Και περιλαμβάνει buffer μνήμης που αποθηκεύουν αποτελέσματα από κλήσεις API, καθώς και αντικαθιστά τις αποκρυπτογραφημένες συμβολοσειρές με μηδενικά μετά τη χρήση.

Μια άλλη αξιοσημείωτη πτυχή του τρόπου λειτουργίας του SpikedWine είναι ότι ο ηθοποιός χρησιμοποιεί υποβαθμισμένη υποδομή δικτύου σε όλα τα στάδια της αλυσίδας επίθεσης. Συγκεκριμένα, οι ερευνητές εντόπισαν τρεις παραβιασμένους ιστότοπους που χρησιμοποιούνται για τη φιλοξενία ενδιάμεσων ωφέλιμων φορτίων ή ως διακομιστές C2, είπαν.

Προστασία και ανίχνευση (Πώς να αποφύγετε τους λεκέδες από κόκκινο κρασί)

Το Zscaler ThreatLabz έχει ειδοποιήσει τις επαφές του στο Εθνικό Κέντρο Πληροφορικής (NIC) στην Ινδία σχετικά με την κατάχρηση θεμάτων της ινδικής κυβέρνησης στην επίθεση.

Καθώς ο διακομιστής C2 που χρησιμοποιείται στην επίθεση ανταποκρίνεται μόνο σε συγκεκριμένους τύπους αιτημάτων σε συγκεκριμένες χρονικές στιγμές, οι αυτοματοποιημένες λύσεις ανάλυσης δεν μπορούν να ανακτήσουν απαντήσεις C2 και αρθρωτά ωφέλιμα φορτία για εντοπισμό και ανάλυση, είπαν οι ερευνητές. Για να βοηθήσουν τους υπερασπιστές, συμπεριέλαβαν μια λίστα με δείκτες συμβιβασμού (IoC) και διευθύνσεις URL που σχετίζονται με την επίθεση στην ανάρτηση του ιστολογίου τους.

Ένα πολυεπίπεδο πλατφόρμα ασφαλείας cloud θα πρέπει να ανιχνεύει IoC που σχετίζονται με το WineLoader σε διάφορα επίπεδα, όπως όλα τα αρχεία με το όνομα απειλής, Win64.Downloader.WineLoader, σημείωσαν οι ερευνητές.

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
• PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• PlatoESG. Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
• PlatoHealth. Ευφυΐα βιοτεχνολογίας και κλινικών δοκιμών. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/cyberattacks-data-breaches/cyberattackers-lure-eu-diplomats-wine-tasting-offers