Microsoft odkrije skupino groženj, ki uvaja nov val kraljeve izsiljevalske programske opreme

Objavljeno dne: November 23, 2022

Microsoft je prejšnji teden razkril, da za novim valom Royal stoji skupina groženj, identificirana kot DEV-0569 izsiljevalska in drugo zlonamerno programsko opremo, nameščeno prek povezav do lažnega predstavljanja, spletnih mest z legitimnim videzom in Google Ads.

Obhod varnostnih rešitev je eden od vidikov, kjer se akterji groženj včasih soočajo z izzivi. Eden od načinov, kako se lahko izognejo tem rešitvam, je zavajanje uporabnikov, da jih pustijo vstopiti, tako da kliknejo zlonamerne povezave ali prenesejo škodljivo programsko opremo.

DEV-0569 uporablja obe tehniki proti uporabnikom, ki ju ciljajo. Skupina groženj ustvarja lažna spletna mesta, uporablja kontaktne obrazce v ciljnih organizacijah, gosti namestitvene programe na spletnih mestih za prenos, ki so videti legitimna, in uvaja Google Ads.

»Dejavnost DEV-0569 uporablja podpisane binarne datoteke in zagotavlja šifrirano koristno vsebino zlonamerne programske opreme,« razložiti Microsoft v izjavi prejšnji teden. Skupina je znana tudi po tem, da močno uporablja tehnike izogibanja obrambi in je še naprej uporabljala odprtokodno orodje Nsudo, da bi nedavno v kampanjah poskušala onemogočiti protivirusne rešitve.

"DEV-0569 se predvsem opira na zlonamerno oglaševanje, lažno predstavljanje, ki kaže na nalagalnik zlonamerne programske opreme, ki se predstavlja kot namestitvene programe ali posodobitve programske opreme, vdelane v vsiljeno e-pošto, lažne strani forumov in komentarje v blogih," je dodal tehnološki velikan.

Eden od glavnih ciljev DEV-0569 je pridobitev dostopa do naprav v varnih omrežjih, kar bi jim omogočilo namestitev kraljeve izsiljevalske programske opreme. Posledično bi lahko skupina postala posrednik dostopa za druge operaterje izsiljevalske programske opreme s prodajo dostopa, ki ga imajo, drugim hekerjem.

Poleg tega skupina uporablja Google Ads, da razširi svoj doseg in se zlije z zakonitim internetnim prometom.

"Microsoftovi raziskovalci so odkrili zlorabno oglaševalsko kampanjo DEV-0569, ki izkorišča Google Ads in kaže na zakonit sistem za distribucijo prometa (TDS) Keitaro, ki omogoča prilagajanje oglaševalskih kampanj prek sledenja oglasnemu prometu in filtriranja na podlagi uporabnikov ali naprav," je sporočilo podjetje. . "Microsoft je opazil, da TDS uporabnika preusmeri na zakonito spletno mesto za prenos ali pod določenimi pogoji na zlonamerno spletno mesto za prenos BATLOADER."

Ta strategija tako akterjem groženj omogoča, da obidejo obsege IP-jev znanih varnostnih rešitev peskovnika s pošiljanjem zlonamerne programske opreme na določene cilje in naslove IP.