קמפיין התחמקות Jupyter Infostealer מציג גרסה מסוכנת

הועלה מחדש על ידי אפלטון

עוקב: 0

מסע הפרסום החמקמק Jupyter Infostealer מציג וריאנט מסוכן של PlatoBlockchain Data Intelligence. חיפוש אנכי. איי.

חוקרי אבטחה הבחינו לאחרונה בעלייה במתקפות הכוללות גרסה חדשה ומתוחכמת של Jupyter, גנבת מידע שמכוונת למשתמשים של דפדפני Chrome, Edge ו-Firefox מאז 2020 לפחות.

התוכנה הזדונית, המכונה גם Yellow Cockatoo, Solarmarker ו-Polazert, יכולה למכונות בדלת אחורית ולקטוף מגוון של מידע אישורים, כולל שם המחשב, הרשאות המנהל של המשתמש, קובצי Cookie, נתוני אינטרנט, מידע על מנהל סיסמאות הדפדפן ונתונים רגישים אחרים מ- מערכות קורבן - כגון כניסות עבור ארנקי קריפטו ואפליקציות גישה מרחוק.

איום סייבר מתמשך של גניבת נתונים

חוקרים משירות Carbon Black של VMware ניהלו שירות זיהוי ותגובה (MDR) לאחרונה צפה בגרסה החדשה של תוכנות זדוניות הממנפות את שינויי הפקודות של PowerShell ומטענים חוקיים למראה, חתומים דיגיטלית, מדביקים מספר גדל בהתמדה של מערכות מאז סוף אוקטובר.

"ההדבקות האחרונות של Jupyter משתמשות במספר אישורים כדי לחתום על תוכנות זדוניות, אשר, בתורו, יכולות לאפשר לתת אמון לקובץ הזדוני, ולספק גישה ראשונית למכונה של הקורבן", אמרה VMware בבלוג האבטחה שלה השבוע. "נראה שהשינויים הללו משפרים את יכולות ההתחמקות [של ג'ופיטר] ומאפשרים לה להישאר בלתי בולט."

מורפיסק ו BlackBerry - שני ספקים אחרים שעקבו בעבר אחרי Jupyter - זיהו את התוכנה הזדונית כמסוגלת לתפקד כדלת אחורית מלאה. הם תיארו את היכולות שלו ככוללות תמיכה בתקשורת פיקוד ובקרה (C2), פועלת כמטפטפת ומטעין עבור תוכנות זדוניות אחרות, חלילת קוד מעטפת כדי להתחמק מזיהוי, וביצוע סקריפטים ופקודות PowerShell.

BlackBerry דיווחה כי היא מתמקדת ב-Jupyter גם בארנקי קריפטו, כגון Ethereum Wallet, MyMonero Wallet ו-Atomic Wallet, בנוסף לגישה ל-OpenVPN, Remote Desktop Protocol ויישומי גישה מרחוק אחרים.

מפעילי התוכנה הזדונית השתמשו במגוון טכניקות כדי להפיץ את התוכנה הזדונית, לרבות הפניות מחדש של מנועי חיפוש לאתרים זדוניים, הורדות ב-drive-by, דיוג והרעלת SEO - או מניפולציה זדונית של תוצאות מנועי החיפוש כדי לספק תוכנות זדוניות.

Jupyter: איך להתמצא בזיהוי תוכנות זדוניות

בהתקפות האחרונות, שחקן האיום שמאחורי Jupyter השתמש באישורים תקפים כדי לחתום דיגיטלית על התוכנה הזדונית כך שהיא תיראה לגיטימית לכלי זיהוי תוכנות זדוניות. לקבצים יש שמות שנועדו לנסות להערים על משתמשים לפתוח אותם, עם כותרות כמו "An-Employers-guide-to-group-health-continuation.exe"וגם"How-To-Edits-On-A-Word-Document-Permanent.exe

חוקרי VMware צפו בתוכנה הזדונית יצירת חיבורי רשת מרובים לשרת ה-C2 שלה כדי לפענח את המטען של גנב המידע ולטעון אותו לזיכרון, כמעט מיד עם הנחיתה על מערכת הקורבן.

"במיקוד לדפדפני Chrome, Edge ו-Firefox, זיהומים של Jupyter משתמשים בהרעלת SEO והפניות מחדש של מנועי חיפוש כדי לעודד הורדות קבצים זדוניות שהם וקטור ההתקפה הראשוני בשרשרת התקיפה", לפי הדוח של VMware. "התוכנה הזדונית הדגימה קצירת אישורים ויכולות תקשורת מוצפנות C2 המשמשות לחילוץ נתונים רגישים."

עלייה מטרידה בגנבי מידע

Jupyter היא בין 10 ההדבקות השכיחות ביותר ש-VMware זיהתה ברשתות לקוחות בשנים האחרונות, על פי הספק. זה עולה בקנה אחד עם מה שאחרים דיווחו על א עלייה חדה ומדאיגה בשימוש בגנבי מידע בעקבות המעבר בקנה מידה גדול לעבודה מרחוק בארגונים רבים לאחר תחילת מגיפת COVID-19.

הקנרית האדומה, למשל, דיווחו שגנבי מידע כמו RedLine, Racoon ו-Vidar הגיעו ל-10 הרשימות המובילות שלה מספר פעמים בשנת 2022. לרוב, התוכנה הזדונית הגיעה כקובצי התקנה מזויפים או מורעלים עבור תוכנות לגיטימיות באמצעות פרסומות זדוניות או באמצעות מניפולציה של SEO. החברה מצאה תוקפים שמשתמשים בתוכנה הזדונית בעיקר כדי לנסות לאסוף אישורים מעובדים מרוחקים שאפשרו גישה מהירה, מתמשכת ומיוחסת לרשתות ומערכות ארגוניות.

"אף תעשייה לא חסינה מפני גניבת תוכנות זדוניות והתפשטות תוכנות זדוניות כאלה היא לעתים קרובות אופורטוניסטית, בדרך כלל באמצעות מניפולציה של פרסום ו-SEO", אמרו חוקרי רד קנרי.

Uptycs דיווחו על א עלייה דומה ומטרידה בהפצת גנבי מידע מוקדם יותר השנה. הנתונים שאחריהם עקבה החברה הראו את מספר התקריות שבהן תוקף פרס גנב מידע יותר מהכפלה ברבעון הראשון של 2023, בהשוואה לתקופה המקבילה אשתקד. ספק האבטחה מצא שחקני איומים שמשתמשים בתוכנה הזדונית כדי לגנוב שמות משתמש וסיסמאות, מידע דפדפן כגון פרופילים ופרטי מילוי אוטומטי, פרטי כרטיס אשראי, מידע על ארנק קריפטו ומידע מערכת. גנבי מידע חדשים יותר כמו Rhadamanthys יכולים גם לגנוב יומנים ספציפיים מיישומי אימות רב-גורמי, לפי Uptycs. יומנים המכילים את הנתונים הגנובים נמכרים לאחר מכן בפורומים פליליים, שם יש ביקוש כבד לכך.

"לחיצה של נתונים גנובים יש א השפעה מסוכנת על ארגונים או יחידים, מכיוון שניתן למכור אותו בקלות ברשת האפלה כנקודת גישה ראשונית עבור גורמי איומים אחרים", הזהירו חוקרי Uptycs.