Microsoft виявила групу загроз, яка розгортає нову хвилю королівського програмного забезпечення-вимагача

Опубліковано: Листопад 23, 2022

Минулого тижня Microsoft виявила, що за новою хвилею Royal стоїть група загроз, ідентифікована як DEV-0569 вимагачів та інше зловмисне програмне забезпечення, розгорнуте через фішингові посилання, легітимні веб-сайти та Google Ads.

Обхід рішень безпеки є одним з аспектів, де загрозливі суб’єкти іноді стикаються з проблемами. Один із способів обійти ці рішення – обманювати користувачів, щоб впустити їх, натискаючи шкідливі посилання або завантажуючи шкідливе програмне забезпечення.

DEV-0569 використовує обидва ці методи проти цільових користувачів. Група загроз створює фішингові веб-сайти, використовує контактні форми в цільових організаціях, розміщує інсталятори на сайтах завантаження, які виглядають легітимними, і розгортає Google Ads.

«Діяльність DEV-0569 використовує підписані двійкові файли та доставляє зашифроване шкідливе програмне забезпечення», пояснені Microsoft у своїй заяві минулого тижня. Відомо також, що група активно використовує методи ухилення від захисту та продовжувала використовувати інструмент із відкритим кодом Nsudo, щоб спробувати відключити антивірусні рішення останнім часом у кампаніях.

«DEV-0569, зокрема, покладається на зловмисну ​​рекламу, фішингові посилання, які вказують на завантажувач зловмисного програмного забезпечення, який видає себе за інсталятори програмного забезпечення або оновлення, вбудовані в електронні листи зі спамом, фейкові сторінки форумів і коментарі в блогах», – додав технічний гігант.

Однією з головних цілей DEV-0569 є отримання доступу до пристроїв у захищених мережах, що дозволить їм розгортати програми-вимагачі Royal. У результаті група може стати посередником доступу для інших операторів програм-вимагачів, продавши доступ іншим хакерам.

Крім того, група використовує Google Ads, щоб розширити охоплення та злитися з легальним інтернет-трафіком.

«Дослідники Microsoft виявили DEV-0569 шкідливу рекламну кампанію з використанням Google Ads, яка вказує на законну систему розподілу трафіку (TDS) Keitaro, яка надає можливості налаштовувати рекламні кампанії за допомогою відстеження рекламного трафіку та фільтрації на основі користувачів або пристроїв», — заявили в компанії. . «Microsoft помітила, що TDS перенаправляє користувача на законний сайт завантаження або, за певних умов, на шкідливий сайт завантаження BATLOADER».

Таким чином, ця стратегія дозволяє суб’єктам загрози обходити діапазони IP-адрес відомих рішень ізольованого програмного середовища безпеки, надсилаючи зловмисне програмне забезпечення до певних цілей та IP-адрес.