Nhóm đe dọa Syria bán phá hoại SilverRAT

Được xuất bản lại bởi Plato

Người theo dõi: 0

Nhóm đứng sau Trojan truy cập từ xa tinh vi, SilverRAT, có liên kết với cả Thổ Nhĩ Kỳ và Syria và có kế hoạch phát hành phiên bản cập nhật của công cụ này để cho phép kiểm soát các hệ thống Windows và thiết bị Android bị xâm nhập.

Theo phân tích mối đe dọa được công bố vào ngày 3 tháng 1, SilverRAT vXNUMX — hiện chỉ hoạt động trên hệ thống Windows — cho phép tạo phần mềm độc hại để tấn công keylogging và ransomware, đồng thời bao gồm các tính năng phá hoại, chẳng hạn như khả năng xóa điểm khôi phục hệ thống, các nhà nghiên cứu từ Cyfirma có trụ sở tại Singapore nêu trong phân tích của họ.

SilverRAT Builder cho phép nhiều tính năng khác nhau

SilverRAT cho thấy các nhóm tội phạm mạng trong khu vực đang trở nên tinh vi hơn, theo phân tích của Cyfirma. Phiên bản đầu tiên của SilverRAT, có mã nguồn bị rò rỉ bởi những kẻ không rõ danh tính vào tháng 10, bao gồm một trình xây dựng cho phép người dùng xây dựng một Trojan truy cập từ xa với các tính năng cụ thể.

Theo phân tích của Cyfirma, các tính năng thú vị hơn bao gồm sử dụng địa chỉ IP hoặc trang web để ra lệnh và kiểm soát, bỏ qua phần mềm chống vi-rút, khả năng xóa các điểm khôi phục hệ thống và trì hoãn việc thực thi tải trọng.

Theo phân tích của Cyfirma, ít nhất hai tác nhân đe dọa – một người sử dụng tay cầm “Bạc nguy hiểm” và người thứ hai sử dụng “Monstermc” – là những nhà phát triển đằng sau cả SilverRAT và chương trình trước đó, S500 RAT, theo phân tích của Cyfirma. Tin tặc hoạt động trên Telegram và thông qua các diễn đàn trực tuyến nơi chúng bán phần mềm độc hại dưới dạng dịch vụ, phân phối RAT bị bẻ khóa từ các nhà phát triển khác và cung cấp nhiều dịch vụ khác. Ngoài ra, họ còn có một blog và trang web tên là Tiếng Ả Rập ẩn danh.

Rajhans Patel, nhà nghiên cứu mối đe dọa của Cyfirma, cho biết: “Có hai người quản lý SilverRAT. “Chúng tôi đã có thể thu thập bằng chứng hình ảnh của một trong những nhà phát triển.”

Bắt đầu từ diễn đàn

Nhóm đứng sau phần mềm độc hại này có tên là Anonymous Arabic, đang hoạt động trên các diễn đàn Trung Đông, chẳng hạn như Turkhackteam, 1877 và ít nhất một diễn đàn ở Nga.

Koushik Pal, một nhà nghiên cứu mối đe dọa của nhóm Nghiên cứu Cyfirma cho biết, ngoài việc phát triển SilverRAT, các nhà phát triển của nhóm còn cung cấp các cuộc tấn công từ chối dịch vụ (DDoS) phân tán theo yêu cầu.

Ông nói: “Chúng tôi đã quan sát thấy một số hoạt động từ tiếng Ả Rập ẩn danh kể từ cuối tháng 2023 năm XNUMX. “Họ được biết là đang sử dụng một mạng botnet được quảng cáo trên Telegram có tên là ‘BossNet’ để tiến hành các cuộc tấn công DDOS vào các thực thể lớn.”

Trong khi bối cảnh mối đe dọa ở Trung Đông bị thống trị bởi các nhóm hack do nhà nước và nhà nước bảo trợ ở Iran và Israel, thì các nhóm cây nhà lá vườn như Anonymous Arabic vẫn tiếp tục thống trị thị trường tội phạm mạng. Sự phát triển không ngừng của các công cụ như SilverRAT làm nổi bật tính chất năng động của thị trường ngầm trong khu vực.

Bảng điều khiển SilverRAT để xây dựng trojan. Nguồn: Cyfirma

Sarah Jones, nhà phân tích nghiên cứu tình báo mối đe dọa mạng tại công ty phát hiện và ứng phó có quản lý Critical Start, cho biết các nhóm hack ở Trung Đông có xu hướng khá đa dạng. Bà cũng cảnh báo rằng các nhóm hack riêng lẻ không ngừng phát triển và việc khái quát hóa các đặc điểm của chúng có thể gây ra vấn đề.

Cô nói: “Mức độ phức tạp về mặt kỹ thuật rất khác nhau giữa các nhóm ở Trung Đông. “Một số tác nhân được nhà nước hậu thuẫn sở hữu những khả năng tiên tiến, trong khi những tác nhân khác dựa vào các công cụ và kỹ thuật đơn giản hơn”.

Cánh cổng thông qua hack trò chơi

Trong số các thành viên được xác định của nhóm tiếng Ả Rập ẩn danh, ít nhất một người là cựu hacker trò chơi, theo dữ liệu được các nhà nghiên cứu tại Cyfirma thu thập, bao gồm hồ sơ Facebook, kênh YouTube và các bài đăng trên mạng xã hội của một trong những hacker – một người đàn ông ở anh ấy mới 20 tuổi, sống ở Damascus, Syria và bắt đầu hack khi còn là thiếu niên.

Hồ sơ của những hacker trẻ tuổi chuyên tìm cách khai thác trò chơi đã vượt xa cộng đồng hack ở Trung Đông. Thanh thiếu niên bắt đầu sự nghiệp hack của mình bằng cách tạo ra các hack chơi game hoặc thực hiện các cuộc tấn công từ chối dịch vụ nhằm vào hệ thống trò chơi đã trở thành một xu hướng. Arion Kurtaj, thành viên của nhóm Lapsus$, bắt đầu với tư cách là một hacker Minecraft và sau đó chuyển sang hack các mục tiêu như Microsoft, Nvidia và nhà sản xuất trò chơi Rockstar.

Rajhans Patel, nhà nghiên cứu mối đe dọa của Cyfirma, cho biết: “Chúng tôi có thể thấy xu hướng tương tự với nhà phát triển SilverRAT,” đồng thời bổ sung vào phân tích mối đe dọa: “Việc xem xét các bài đăng trước đây của nhà phát triển cho thấy lịch sử cung cấp nhiều trò chơi bắn súng góc nhìn thứ nhất (FPS) khác nhau. hack và mod.”

Ủy ban Đánh giá An toàn Mạng (CSRB) của Bộ An ninh Nội địa Hoa Kỳ, nơi tiến hành phân tích khám nghiệm tử thi các vụ hack lớn, đã xác định đường dây liên tục từ tin tặc vị thành niên đến các doanh nghiệp tội phạm mạng là một mối nguy hiểm hiện hữu. Chính phủ và các tổ chức tư nhân nên triển khai các chương trình toàn diện để chuyển hướng thanh thiếu niên tránh xa tội phạm mạng, CSRB nhận thấy trong phân tích về sự thành công của nhóm Lapsus$ trong việc tấn công “một số công ty có nguồn lực tốt nhất và được bảo vệ tốt nhất trên thế giới.”

Tuy nhiên, các lập trình viên trẻ và thanh thiếu niên am hiểu công nghệ cũng thường tìm những cách khác để gia nhập vào thế giới tội phạm mạng, Jones của Critical Start cho biết.

Cô nói: “Tin tặc, giống như bất kỳ nhóm dân cư nào, là những cá nhân đa dạng với động cơ, kỹ năng và cách tiếp cận khác nhau. “Trong khi một số tin tặc có thể bắt đầu bằng việc hack trò chơi và chuyển sang các công cụ và kỹ thuật nghiêm trọng hơn, chúng tôi thường thấy rằng tội phạm mạng có xu hướng nhắm mục tiêu vào các ngành và quốc gia có hệ thống phòng thủ mạng yếu hơn”.