Microsoft avastas ohurühma, kes juurutab kuningliku lunavara uue laine

Avaldatud: November 23, 2022

Microsoft paljastas eelmisel nädalal, et Royali uue laine taga oli ohurühm, mille nimi on DEV-0569 ransomware ja muu andmepüügilinkide, õiguspärase välimusega veebisaitide ja Google Adsi kaudu juurutatud pahavara.

Turvalahendustest mööda hiilimine on üks aspekt, kus ohus osalejad seisavad mõnikord silmitsi väljakutsetega. Üks viis, kuidas nad saavad neist lahendustest mööda minna, on petta kasutajaid, et nad klõpsaksid pahatahtlikel linkidel või laadiksid alla kahjuliku tarkvara.

DEV-0569 kasutab mõlemat tehnikat sihitud kasutajate vastu. Ohurühm loob andmepüügiveebisaite, kasutab sihitud organisatsioonides kontaktivorme, majutab installijaid allalaadimissaitidel, mis näivad seaduslikud, ja juurutab Google Adsi.

"DEV-0569 tegevus kasutab allkirjastatud binaarfaile ja edastab krüptitud pahavara kasulikke koormusi," selgitas Microsoft oma eelmise nädala avalduses. Teadaolevalt kasutab rühm ka kaitsest kõrvalehoidmise tehnikaid ja on jätkanud avatud lähtekoodiga tööriista Nsudo kasutamist, et proovida hiljuti kampaaniates viirusetõrjelahendusi keelata.

"DEV-0569 tugineb eelkõige pahatahtlikule reklaamile ja andmepüügilinkidele, mis viitavad pahavara allalaadijale, mis kujutab endast tarkvara installijat või värskendusi, mis on manustatud rämpsposti, võltsitud foorumilehtedesse ja ajaveebi kommentaaridesse," lisas tehnoloogiagigant.

Üks DEV-0569 peamisi eesmärke on saada juurdepääs turvalistes võrkudes olevatele seadmetele, mis võimaldaks neil juurutada kuninglikku lunavara. Selle tulemusena võib rühmitus saada juurdepääsu vahendajaks teistele lunavaraoperaatoritele, müües neile juurdepääsu teistele häkkeritele.

Lisaks kasutab rühm Google Adsi, et laiendada oma ulatust ja sulanduda seadusliku Interneti-liiklusega.

"Microsofti teadlased tuvastasid DEV-0569 pahatahtliku reklaamikampaania, mis kasutab Google Adsi ja viitab seaduslikule liiklusjaotussüsteemile (TDS) Keitaro, mis võimaldab kohandada reklaamikampaaniaid reklaamiliikluse jälgimise ja kasutaja- või seadmepõhise filtreerimise kaudu," teatas ettevõte. . "Microsoft täheldas, et TDS suunab kasutaja seaduslikule allalaadimissaidile või teatud tingimustel pahatahtlikule allalaadimissaidile BATLOADER."

See strateegia võimaldab seega ohus osalejatel teadaolevate turvaliivakastilahenduste IP-vahemikest mööda minna, saates pahavara konkreetsetele sihtmärkidele ja IP-dele.