Grupul de amenințare sirian vândează SilverRAT distructiv

Republicat de Platon

Urmaritori: 0

Grupul din spatele unui troian sofisticat de acces la distanță, SilverRAT, are legături atât cu Turcia, cât și cu Siria și intenționează să lanseze o versiune actualizată a instrumentului pentru a permite controlul asupra sistemelor Windows și dispozitivelor Android compromise.

Potrivit unei analize a amenințărilor publicate pe 3 ianuarie, SilverRAT v1 – care funcționează în prezent doar pe sistemele Windows – permite construirea de programe malware pentru keylogging și atacuri ransomware și include caracteristici distructive, cum ar fi capacitatea de a șterge punctele de restaurare a sistemului, potrivit cercetătorilor de la Cyfirma cu sediul în Singapore precizate în analiza lor.

SilverRAT Builder permite diverse caracteristici

SilverRAT arată că grupurile de criminali cibernetici din regiune devin din ce în ce mai sofisticate, conform analizei Cyfirma. Prima versiune a SilverRAT, al cărei cod sursă a fost divulgat de actori necunoscuți în octombrie, constă într-un constructor care permite utilizatorului să construiască un troian de acces la distanță cu caracteristici specifice.

Caracteristicile mai interesante, conform analizei Cyfirma, includ utilizarea fie a unei adrese IP, fie a unei pagini web pentru comandă și control, ocolirea software-ului antivirus, capacitatea de a șterge punctele de restaurare a sistemului și execuția întârziată a sarcinilor utile.

Cel puțin doi actori ai amenințărilor - unul care folosește mânerul „Argint periculos” și al doilea folosind „Monstermc” - sunt dezvoltatorii atât în spatele SilverRAT, cât și în spatele unui program anterior, S500 RAT, conform analizei Cyfirma. Hackerii operează pe Telegram și prin forumuri online unde vând malware ca serviciu, distribuie RAT-uri sparte de la alți dezvoltatori și oferă o varietate de alte servicii. În plus, au un blog și un site web numit Anonymous Arabic.

„Există doi oameni care gestionează SilverRAT”, spune Rajhans Patel, un cercetător al amenințărilor la Cyfirma. „Am reușit să adunăm dovezi fotografice ale unuia dintre dezvoltatori.”

Începând de la forumuri

Grupul din spatele malware-ului, numit Anonymous Arabic, este activ pe forumuri din Orientul Mijlociu, cum ar fi Turkhackteam, 1877 și cel puțin un forum rusesc.

Pe lângă dezvoltarea SilverRAT, dezvoltatorii grupului oferă atacuri distribuite de denial-of-service (DDoS) la cerere, spune Koushik Pal, un cercetător al amenințărilor în echipa Cyfirma Research.

„Am observat o activitate din Anonymous Arabic de la sfârșitul lunii noiembrie 2023”, spune el. „Se știe că folosesc o rețea botnet promovată pe Telegram, cunoscută sub numele de „BossNet” pentru a efectua atacuri DDOS asupra entităților mari.”

În timp ce peisajul amenințărilor din Orientul Mijlociu a fost dominat de grupurile de hacking conduse de stat și sponsorizate de stat din Iran și Israel, grupuri autohtone precum Anonymous Arabic continuă să domine piețele criminalității cibernetice. Dezvoltarea continuă a instrumentelor precum SilverRAT evidențiază natura dinamică a piețelor subterane din regiune.

Tabloul de bord SilverRAT pentru construirea de troieni. Sursa: Cyfirma

Grupurile de hacking din Orientul Mijlociu tind să fie destul de variate, spune Sarah Jones, un analist de cercetare în domeniul amenințărilor cibernetice la firma de detectare gestionată și răspuns Critical Start, care a avertizat că grupurile individuale de hacking evoluează constant și generalizarea caracteristicilor lor poate fi problematică.

„Nivelul de sofisticare tehnică variază foarte mult între grupurile din Orientul Mijlociu”, spune ea. „Unii actori susținuți de stat posedă capacități avansate, în timp ce alții se bazează pe instrumente și tehnici mai simple.”

O poartă prin hack-uri de jocuri

Dintre membrii identificați ai grupului Anonymous Arabic, cel puțin unul este un fost hacker de jocuri, potrivit datelor culese de cercetătorii de la Cyfirma, inclusiv profilul de Facebook, canalul YouTube și postările pe rețelele sociale ale unuia dintre hackeri - un bărbat în 20 de ani, care locuiește în Damasc, Siria, și a început să pirateze când era adolescent.

Profilul tinerilor hackeri care și-au tăiat dinții pentru a găsi exploituri pentru jocuri transcende comunitatea hackerilor din Orientul Mijlociu. Adolescenții care își încep cariera de hacking creând hack-uri de jocuri sau lansând atacuri de refuz de serviciu împotriva sistemelor de joc a devenit o tendință. Arion Kurtaj, membru al grupul Lapsus$, a început ca un hacker Minecraft și mai târziu a trecut la ținte de hacking precum Microsoft, Nvidia și producătorul de jocuri Rockstar.

„Putem observa o tendință similară cu dezvoltatorul SilverRAT”, spune Rajhans Patel, un cercetător de amenințări la Cyfirma, adăugând în analiza amenințărilor: „Examinarea postărilor anterioare ale dezvoltatorului dezvăluie o istorie de a oferi diverse jocuri de împușcături la persoana în primă (FPS) hack-uri și modificări.”

Consiliul de evaluare a siguranței cibernetice (CSRB) al Departamentului de Securitate Internă al SUA, care efectuează analize post-mortem a hackurilor majore, a identificat conducta continuă de la hackeri minori la întreprinderile criminale cibernetice ca un pericol existențial. Guvernele și organizațiile private ar trebui să pună în aplicare programe holistice pentru a redirecționa minorii departe de criminalitatea cibernetică, a constatat CSRB în analiza sa asupra succesului grupului Lapsus$ în atacarea „unelor dintre cele mai bine resurse și bine apărate companii din lume”.

Cu toate acestea, tinerii programatori și adolescenții cunoscători de tehnologie găsesc adesea și alte căi de acces la criminalul cibernetic, spune Jones de la Critical Start.

„Hackerii, ca orice grup de populație, sunt indivizi diversi cu motivații, abilități și abordări variate”, spune ea. „Deși unii hackeri pot începe cu hack-uri de jocuri și pot trece la instrumente și tehnici mai serioase, adesea constatăm că infractorii cibernetici tind să vizeze industriile și țările cu apărare cibernetică mai slabă.”