Кампанія Evasive Jupyter Infostealer демонструє небезпечний варіант

Кампанія Evasive Jupyter Infostealer демонструє небезпечний варіант

Мітка часу: 8 листопада 2023 р., 5:55
Evasive Jupyter Infostealer Campaign Shows Dangerous Variant PlatoBlockchain Data Intelligence. Вертикальний пошук. Ai.

Дослідники з безпеки помітили нещодавнє збільшення кількості атак із залученням нового складного варіанту Jupyter, викрадача інформації, який націлений на користувачів браузерів Chrome, Edge і Firefox принаймні з 2020 року.

Зловмисне програмне забезпечення, яке також називають Yellow Cockatoo, Solarmarker і Polazert, може здійснювати бекдори на машинах і збирати різноманітну облікову інформацію, включаючи ім’я комп’ютера, права адміністратора користувача, файли cookie, веб-дані, інформацію менеджера паролів браузера та інші конфіденційні дані з системи-жертви, такі як логіни для крипто-гаманців і програми віддаленого доступу.

Постійна кіберзагроза крадіжки даних

Нещодавно дослідники з служби керованого виявлення та реагування (MDR) VMware Carbon Black помітив нову версію зловмисного програмного забезпечення, що використовує модифікації команд PowerShell і легітимні корисні навантаження з цифровим підписом, заражаючи постійно зростаючу кількість систем з кінця жовтня.

«Останні випадки зараження Jupyter використовують кілька сертифікатів для підпису свого шкідливого програмного забезпечення, яке, у свою чергу, може дозволити надати довіру шкідливому файлу, забезпечуючи початковий доступ до комп’ютера жертви», — повідомила VMware у своєму блозі безпеки цього тижня. «Ці модифікації, здається, покращують можливості [Юпітера] ухилятися, дозволяючи йому залишатися непомітним».

Морфісек та BlackBerry — два інші постачальники, які раніше відстежували Jupyter, — визначили зловмисне програмне забезпечення, здатне функціонувати як повноцінний бекдор. Вони описали його можливості як такі, що включають підтримку командно-контрольних (C2) зв’язків, діють як дроппер і завантажувач для іншого шкідливого програмного забезпечення, видалення коду оболонки, щоб уникнути виявлення, і виконання сценаріїв і команд PowerShell.

BlackBerry повідомила, що спостерігає, як Jupyter також націлюється на крипто-гаманці, такі як Ethereum Wallet, MyMonero Wallet і Atomic Wallet, на додаток до доступу до OpenVPN, Remote Desktop Protocol та інших програм віддаленого доступу.

Оператори зловмисного програмного забезпечення використовували різноманітні методи для розповсюдження зловмисного програмного забезпечення, включаючи переспрямування пошукових систем на шкідливі веб-сайти, завантаження, фішинг і пошукову оптимізацію — або зловмисне маніпулювання результатами пошукової системи для доставки зловмисного програмного забезпечення.

Jupyter: обхід виявлення шкідливих програм

Під час останніх атак зловмисник, що стоїть за Jupyter, використовував дійсні сертифікати для цифрового підпису зловмисного програмного забезпечення, щоб інструменти виявлення зловмисного програмного забезпечення виглядали легітимними. Файли мають назви, розроблені таким чином, щоб спробувати змусити користувачів відкрити їх, наприклад «An-employers-guide-to-group-health-continuation.exe"І"How-To-Make-Edits-On-A-Word-Document-Permanent.exe».

Дослідники VMware спостерігали, як зловмисне програмне забезпечення встановлює численні мережеві підключення до свого сервера C2, щоб розшифрувати корисне навантаження інфокрадію та завантажити його в пам’ять, майже відразу після потрапляння на систему-жертву.

«Націлюючись на браузери Chrome, Edge і Firefox, зараження Jupyter використовує отруєння SEO та перенаправлення пошукових систем, щоб стимулювати завантаження зловмисних файлів, які є початковим вектором атаки в ланцюжку атак», — йдеться у звіті VMware. «Зловмисне програмне забезпечення продемонструвало збір облікових даних і можливості зашифрованого зв’язку C2, які використовуються для викрадання конфіденційних даних».

Тривожне зростання інфокрадіїв

Згідно з даними постачальника, Jupyter входить до 10 найбільш частих заражень, які VMware виявляла в клієнтських мережах за останні роки. Це узгоджується з тим, що інші повідомляли про a різкий і хвилюючий підйом у використанні інфокрадиків після широкомасштабного переходу до віддаленої роботи в багатьох організаціях після початку пандемії COVID-19.

Червона Канарська, наприклад, повідомили, що у 10 році такі викрадачі інформації, як RedLine, Racoon і Vidar, неодноразово потрапляли в 2022 найкращих списків. Найчастіше зловмисне програмне забезпечення надходило у вигляді підроблених або отруєних файлів інсталятора для законного програмного забезпечення через зловмисну ​​рекламу або через маніпуляції з SEO. Компанія виявила, що зловмисники використовують зловмисне програмне забезпечення, головним чином, щоб спробувати отримати облікові дані від віддалених співробітників, які забезпечують швидкий, постійний і привілейований доступ до корпоративних мереж і систем.

«Жодна галузь не застрахована від зловмисного програмного забезпечення, яке розповсюджується, і поширення такого шкідливого програмного забезпечення часто є опортуністичним, як правило, через рекламу та маніпуляції з пошуковою системою пошукових систем», — заявили дослідники Red Canary.

Uptycs повідомив a подібне і тривожне зростання у розповсюдженні infostealer на початку цього року. Дані, які відстежувала компанія, показали, що кількість інцидентів, під час яких зловмисник застосував інфокрадію, зросла більш ніж удвічі в першому кварталі 2023 року порівняно з тим же періодом минулого року. Постачальник засобів безпеки виявив зловмисників, які використовують зловмисне програмне забезпечення для викрадення імен користувачів і паролів, інформації про браузер, такої як профілі та інформація автозаповнення, інформації про кредитну картку, інформації про крипто-гаманець і системної інформації. За даними Uptycs, нові інформаційні викрадачі, такі як Rhadamanthys, також можуть спеціально викрадати журнали з програм багатофакторної автентифікації. Журнали, що містять викрадені дані, потім продаються на кримінальних форумах, де на них є великий попит.

«Викрадання вкрадених даних має a небезпечний вплив на організації або окремим особам, оскільки його можна легко продати в темній мережі як початкову точку доступу для інших учасників загрози», — попередили дослідники Uptycs.

Часова мітка:

Більше від Темне читання