Microsoft Menemukan Kelompok Ancaman yang Menyebarkan Gelombang Baru Royal Ransomware

Diterbitkan: November 23, 2022

Microsoft mengungkapkan minggu lalu bahwa kelompok ancaman yang diidentifikasi sebagai DEV-0569 berada di belakang gelombang baru Royal ransomware dan malware lainnya yang disebarkan melalui tautan phishing, situs web yang terlihat sah, dan Google Ads.

Melewati solusi keamanan adalah salah satu aspek di mana pelaku ancaman terkadang menghadapi tantangan. Salah satu cara mereka dapat melewati solusi ini adalah dengan menipu pengguna agar mengizinkan mereka masuk dengan mengeklik tautan jahat atau mengunduh perangkat lunak berbahaya.

DEV-0569 menggunakan kedua teknik ini terhadap pengguna yang mereka targetkan. Grup ancaman membuat situs web phishing, menggunakan formulir kontak di organisasi yang ditargetkan, menghosting penginstal di situs unduhan yang terlihat sah, dan menerapkan Google Ads.

“Aktivitas DEV-0569 menggunakan binari yang ditandatangani dan mengirimkan muatan malware terenkripsi,” menjelaskan Microsoft dalam pernyataannya pekan lalu. Grup ini juga dikenal sangat memanfaatkan teknik penghindaran pertahanan dan terus menggunakan alat sumber terbuka Nsudo untuk mencoba menonaktifkan solusi antivirus baru-baru ini dalam kampanye.

“DEV-0569 terutama bergantung pada malvertising, tautan phishing yang mengarah ke pengunduh malware yang menyamar sebagai penginstal perangkat lunak atau pembaruan yang disematkan dalam email spam, halaman forum palsu, dan komentar blog,” tambah raksasa teknologi itu.

Salah satu tujuan utama DEV-0569 adalah untuk mendapatkan akses ke perangkat dalam jaringan aman, yang memungkinkan mereka menyebarkan ransomware Royal. Akibatnya, grup tersebut dapat menjadi perantara akses bagi operator ransomware lain dengan menjual akses yang mereka miliki kepada peretas lain.

Selain itu, grup tersebut menggunakan Google Ads untuk memperluas jangkauannya dan berbaur dengan lalu lintas internet yang sah.

"Peneliti Microsoft mengidentifikasi kampanye malvertising DEV-0569 yang memanfaatkan Google Ads yang mengarah ke sistem distribusi lalu lintas (TDS) Keitaro yang sah, yang menyediakan kemampuan untuk menyesuaikan kampanye iklan melalui pelacakan lalu lintas iklan dan pemfilteran berbasis pengguna atau perangkat," kata perusahaan itu. . "Microsoft mengamati bahwa TDS mengalihkan pengguna ke situs unduhan yang sah, atau dalam kondisi tertentu, ke situs unduhan BATLOADER berbahaya."

Dengan demikian, strategi ini memungkinkan pelaku ancaman melewati rentang IP dari solusi kotak pasir keamanan yang diketahui dengan mengirimkan malware ke target dan IP tertentu.