การพบเห็น Qakbot ยืนยันว่าการลบเนื้อหาออกโดยบังคับใช้กฎหมายเป็นเพียงความล้มเหลวเท่านั้น

การพบเห็น Qakbot ยืนยันว่าการลบเนื้อหาออกโดยบังคับใช้กฎหมายเป็นเพียงความล้มเหลวเท่านั้น

ประทับเวลา: 19 ธันวาคม 2023 6:05 น.
การพบเห็น Qakbot ยืนยันว่าการลบการบังคับใช้กฎหมายเป็นเพียงความพ่ายแพ้ของ PlatoBlockchain Data Intelligence ค้นหาแนวตั้ง AI.

มัลแวร์ Qakbot กลับมาอีกครั้งในเวลาไม่ถึงสี่เดือนหลังจากที่หน่วยงานบังคับใช้กฎหมายของสหรัฐอเมริกาและระหว่างประเทศได้รื้อถอนโครงสร้างพื้นฐานการจัดจำหน่ายในการดำเนินการที่ได้รับการยกย่องอย่างกว้างขวางซึ่งมีชื่อว่า “เป็ดล่า".

ในช่วงไม่กี่วันที่ผ่านมา ผู้จำหน่ายระบบรักษาความปลอดภัยหลายรายรายงานว่าพบมัลแวร์แพร่กระจายผ่านอีเมลฟิชชิ่งที่กำหนดเป้าหมายองค์กรในภาคการบริการ ในขณะนี้ปริมาณอีเมลดูเหมือนจะค่อนข้างต่ำ แต่ด้วยความดื้อรั้นที่ผู้ดำเนินการ Qakbot ได้แสดงออกมาในอดีต จึงมีแนวโน้มว่าจะใช้เวลาไม่นานก่อนที่ปริมาณจะเพิ่มขึ้นอีกครั้ง

ปริมาณต่ำ — จนถึงตอนนี้

กลุ่มข่าวกรองภัยคุกคามของ Microsoft ประมาณการว่าแคมเปญใหม่จะเริ่มในวันที่ 11 ธันวาคม โดยอิงจากการประทับเวลาในเพย์โหลดที่ใช้ในการโจมตีครั้งล่าสุด เป้าหมายได้รับอีเมลพร้อมไฟล์แนบ PDF จากผู้ใช้ที่อ้างว่าเป็นพนักงานของ IRS บริษัท กล่าวใน หลายโพสต์ใน Xซึ่งเป็นแพลตฟอร์มเดิมชื่อ Twitter “PDF มี URL สำหรับดาวน์โหลด Windows Installer (.msi) ที่เซ็นชื่อแบบดิจิทัล” Microsoft โพสต์ “การดำเนินการ MSI ทำให้ Qakbot ถูกเรียกใช้โดยใช้การส่งออก 'hvsi' การดำเนินการของ DLL ที่ฝังอยู่" นักวิจัยได้อธิบายเวอร์ชัน Qakbot ที่ผู้คุกคามกำลังเผยแพร่ในแคมเปญใหม่ว่าเป็นเวอร์ชันที่ไม่เคยเห็นมาก่อน

Zscaler สังเกตเห็นมัลแวร์ที่ปรากฏเช่นกัน ในโพสต์บน X บริษัท ระบุเวอร์ชันใหม่ เป็น 64 บิต โดยใช้ AES สำหรับการเข้ารหัสเครือข่ายและส่งคำขอ POST ไปยังเส้นทางเฉพาะบนระบบที่ถูกบุกรุก Proofpoint ยืนยันการพบเห็นที่คล้ายกัน วันต่อมาพร้อมทั้งสังเกตว่าไฟล์ PDF ในแคมเปญปัจจุบันได้รับการแจกจ่ายตั้งแต่อย่างน้อยวันที่ 28 พฤศจิกายน

ภัยคุกคามที่แพร่หลายมายาวนาน

Qakbot เป็นมัลแวร์ที่เป็นอันตรายอย่างยิ่งซึ่งมีมาตั้งแต่ปี 2007 เป็นอย่างน้อย เดิมทีผู้เขียนใช้มัลแวร์เป็นโทรจันของธนาคาร แต่ในช่วงไม่กี่ปีที่ผ่านมาได้เปลี่ยนไปใช้รูปแบบมัลแวร์ในรูปแบบบริการ โดยทั่วไปแล้วผู้คุกคามจะเผยแพร่มัลแวร์ผ่านอีเมลฟิชชิ่ง และระบบที่ติดไวรัสมักจะกลายเป็นส่วนหนึ่งของบอตเน็ตที่ใหญ่กว่า ที่ เวลาแห่งการลบออก ในเดือนสิงหาคม หน่วยงานบังคับใช้กฎหมายระบุได้ว่ามีระบบที่ติดเชื้อ Qakbot มากถึง 700,000 ระบบทั่วโลก โดยประมาณ 200,000 ระบบอยู่ในสหรัฐอเมริกา

นักแสดงในเครือ Qakbot ได้ใช้มันเป็นเครื่องมือในการทิ้งมัลแวร์อื่น ๆ มากขึ้น โดยเฉพาะอย่างยิ่ง Cobalt Strike เดรัจฉาน เรเทล, และแรนซัมแวร์จำนวนมหาศาล ในหลายกรณี นายหน้าการเข้าถึงเบื้องต้นได้ใช้ Qakbot เพื่อเข้าถึงเครือข่ายเป้าหมาย และขายการเข้าถึงนั้นให้กับผู้คุกคามรายอื่นในภายหลัง “การติดไวรัส QakBot เป็นที่รู้กันว่าเกิดขึ้นก่อนการติดตั้งแรนซัมแวร์ที่ดำเนินการโดยมนุษย์ รวมถึง Conti, ProLock, Egregor, REvil, MegaCortex, Black Basta, Royal และ PwndLocker” สำนักงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา ระบุไว้ในแถลงการณ์ที่ประกาศการลบออกของหน่วยงานบังคับใช้กฎหมายเมื่อต้นปีนี้

การลบล้าง Qakbot ที่ช้าลงเท่านั้น

การพบเห็นมัลแวร์ Qakbot ล่าสุดดูเหมือนจะยืนยันสิ่งที่ผู้ขายบางรายรายงานในช่วงไม่กี่เดือนที่ผ่านมา: การลบออกของหน่วยงานบังคับใช้กฎหมายมีผลกระทบต่อนักแสดง Quakbot น้อยกว่าที่รับรู้โดยทั่วไป

เช่นในเดือนตุลาคม นักล่าภัยคุกคามที่ Cisco Talos รายงานว่านักแสดงในเครือของ Qakbot ยังคงเผยแพร่แบ็คดอร์ Remcos และแรนซัมแวร์ Ransom Knight อย่างต่อเนื่องในช่วงหลายสัปดาห์และหลายเดือนหลังจากการยึดโครงสร้างพื้นฐานของ Qakbot ของ FBI Guilherme Venere นักวิจัยด้านความปลอดภัยของ Talos เห็นว่าเป็นสัญญาณว่าการดำเนินการบังคับใช้กฎหมายในเดือนสิงหาคมอาจนำเฉพาะเซิร์ฟเวอร์คำสั่งและควบคุมของ Qakbot เท่านั้น ไม่ใช่กลไกการส่งสแปม

“แม้ว่าเราจะไม่เห็นผู้คุกคามที่เผยแพร่ Qakbot เองหลังการลบโครงสร้างพื้นฐาน แต่เราประเมินว่ามัลแวร์จะยังคงเป็นภัยคุกคามที่สำคัญต่อไป” Venere กล่าวในขณะนั้น “เราเห็นความเป็นไปได้นี้เนื่องจากนักพัฒนาไม่ได้ถูกจับกุมและยังคงเปิดดำเนินการอยู่ ซึ่งเปิดโอกาสให้พวกเขาเลือกสร้างโครงสร้างพื้นฐานของ Qakbot ขึ้นมาใหม่”

บริษัทรักษาความปลอดภัย Lumu กล่าวว่านับการพยายามโจมตีลูกค้าได้ทั้งหมด 1,581 ครั้งในเดือนกันยายน ซึ่งเป็นผลมาจาก Qakbot ในเดือนต่อๆ มา กิจกรรมดังกล่าวยังคงอยู่ในระดับเดิมไม่มากก็น้อย ตามที่บริษัทระบุ การโจมตีส่วนใหญ่มุ่งเป้าไปที่องค์กรต่างๆ ในด้านการเงิน การผลิต การศึกษา และภาครัฐ

การกระจายมัลแวร์อย่างต่อเนื่องของกลุ่มภัยคุกคามบ่งชี้ว่าสามารถหลบเลี่ยงผลกระทบที่สำคัญได้ Ricardo Villadiego ซีอีโอของ Lumu กล่าว ความสามารถของกลุ่มในการดำเนินงานต่อไปนั้นขึ้นอยู่กับความเป็นไปได้ทางเศรษฐกิจ ความสามารถด้านเทคนิค และความง่ายในการสร้างโครงสร้างพื้นฐานใหม่ เขาตั้งข้อสังเกต “เนื่องจากโมเดลแรนซัมแวร์ยังคงทำกำไรได้ และความพยายามทางกฎหมายไม่ได้กำหนดเป้าหมายไปที่บุคคลและโครงสร้างพื้นฐานของการปฏิบัติการทางอาญาโดยเฉพาะ การต่อต้านเครือข่ายมัลแวร์ในลักษณะนี้จึงกลายเป็นเรื่องท้าทาย”

ประทับเวลา:

เพิ่มเติมจาก การอ่านที่มืด