APT משתמשת בקורונה כדי להפיץ תוכנות זדוניות

קבוצה של איומי APT התגלתה לאחרונה תוך שימוש בקמפיינים של ספייר דיוג כדי לנצל את מגיפת הקורונה כדי להפיץ את התוכנה הזדונית שלהם.

העולם חווה כעת מצב חריג עקב מגיפת הקורונה הנוכחית של קוביד-19. כדי לנסות לעצור את התפשטות הנגיף, מספר רב של חברות ברחבי העולם השיקו מצב חדש של עבודה מרחוק (מרחוק). זה הרחיב משמעותית את משטח התקיפה, מה שמציב אתגר גדול עבור חברות מבחינת אבטחת מידע, שכן כעת עליהן לקבוע כללים נוקשים ולנקוט פעולה. מספר אמצעים להבטיח את המשכיות הפעולה של הארגון ומערכות ה-IT שלו.

עם זאת, משטח ההתקפה המורחב אינו סיכון הסייבר היחיד שצץ בימים האחרונים: פושעי סייבר רבים מנצלים באופן פעיל את אי הוודאות הגלובלית הזו כדי לנהל קמפיינים של פישינג, להפיץ תוכנות זדוניות ולהוות איום על אבטחת המידע של חברות רבות.

APT מנצלת את המגיפה

בסוף השבוע שעבר התגלתה קבוצה מתמשכת מתמשכת (APT) בשם Vicious Panda שניהלה קמפיינים נגד דיוג בחנית, באמצעות מגיפת הקורונה כדי להפיץ את התוכנה הזדונית שלהם. המייל אמר לנמען שהוא מכיל מידע על נגיף הקורונה, אך למעשה המייל מכיל שני קבצי RTF (Rich Text Format) זדוניים. אם הקורבן פתח את הקבצים הללו, הושק טרויאן גישה מרחוק (RAT), שבין היתר היה מסוגל לצלם צילומי מסך, ליצור רשימות של קבצים וספריות במחשב של הקורבן ולהוריד קבצים.

הקמפיין כוון עד כה למגזר הציבורי של מונגוליה, ולפי כמה מומחים מערביים הוא מייצג את המתקפה האחרונה במבצע הסיני המתמשך נגד ממשלות וארגונים שונים ברחבי העולם. הפעם, הייחוד של הקמפיין הוא שהוא משתמש במצב הקורונה העולמי החדש כדי להדביק באופן אקטיבי יותר את הקורבנות הפוטנציאליים שלו.

נראה כי הודעת ההתחזות הגיעה ממשרד החוץ המונגולי ולטענתה מכילה מידע על מספר האנשים שנדבקו בנגיף. כדי להפעיל את הקובץ הזה, התוקפים השתמשו ב-RoyalRoad, כלי פופולרי בקרב יצרני איומים סיניים המאפשר להם ליצור מסמכים מותאמים אישית עם אובייקטים משובצים שיכולים לנצל נקודות תורפה בעורך המשוואות המשולב ב-MS Word כדי ליצור משוואות מורכבות.

טכניקות הישרדות

ברגע שהקורבן פותח את קובצי ה-RTF הזדוני, Microsoft Word מנצל את הפגיעות כדי לטעון את הקובץ הזדוני (intel.wll) לתוך תיקיית האתחול של Word (%APPDATA%MicrosoftWordSTARTUP). שימוש בשיטה זו, לא רק שהאיום הופך לגמיש, אלא הוא גם מונע מכל שרשרת ההדבקה להתפוצץ בעת ריצה בארגז חול, שכן יש להפעיל מחדש את Word כדי להפעיל את התוכנה הזדונית במלואה.

לאחר מכן, הקובץ intel.wll טוען קובץ DLL המשמש להורדת התוכנה הזדונית ולתקשורת עם שרת הפקודה והבקרה של ההאקר. שרת הפיקוד והבקרה פועל לפרק זמן מוגבל בהחלט בכל יום, מה שמקשה על ניתוח וגישה לחלקים המורכבים ביותר בשרשרת ההדבקה.

למרות זאת, החוקרים הצליחו לקבוע כי בשלב הראשון של שרשרת זו, מיד לאחר קבלת הפקודה המתאימה, ה-RAT נטען ומפענח, ונטען ה-DLL שנטען לזיכרון. הארכיטקטורה דמוית הפלאגין מרמזת שישנם מודולים נוספים בנוסף לעומס הנראה בקמפיין זה.

אמצעים להגנה מפני APT חדש

מסע פרסום זדוני זה משתמש במספר טריקים כדי לחדור למערכות של קורבנותיו ולאחר מכן לסכן את אבטחת המידע שלהם. כדי להגן על עצמך מפני קמפיינים כאלה, חשוב לנקוט במגוון אמצעים.

הראשון חשוב ביותר: חשוב לעובדים להיות קשובים וזהירים בעת קבלת מיילים. דוא"ל הוא אחד מחוקטורי ההתקפה העיקריים, אבל כמעט אף חברה לא יכולה בלי דוא"ל. אם אתה מקבל מייל משולח לא ידוע, עדיף לא לפתוח אותו, ואם אתה פותח אותו, אז אל תפתח קבצים מצורפים או לחץ על קישורים כלשהם.

כדי לסכן את אבטחת המידע של קורבנותיה, מתקפה זו מנצלת פגיעות ב-Word. למעשה, נקודות תורפה ללא תיקון הן הסיבה הצלחה של מתקפות סייבר רבות, ויחד עם בעיות אבטחה אחרות, הן עלולות להוביל לפרצות נתונים חמורות. זו הסיבה שכל כך חשוב להחיל את התיקון המתאים כדי לסגור את הפגיעות בהקדם האפשרי.

כדי לבטל את הבעיות הללו, ישנם פתרונות המיועדים במיוחד לזיהוי, ניהול והתקנה של תיקונים. המודול מחפש אוטומטית את התיקונים הדרושים כדי להבטיח את האבטחה של מחשבי החברה, תוך מתן עדכונים דחופים ביותר ותזמון התקנתם. מידע על תיקונים הדורשים התקנה מדווח למנהל המערכת גם כאשר מתגלים ניצולים ותוכנות זדוניות.

הפתרון יכול להפעיל באופן מיידי את התקנת התיקונים והעדכונים הנדרשים, או שניתן לתזמן את התקנתם ממסוף ניהול מרכזי מבוסס אינטרנט, במידת הצורך לבודד מחשבים ללא תיקונים. בדרך זו, מנהל המערכת יכול לנהל תיקונים ועדכונים כדי לשמור על פעילות החברה בצורה חלקה.

למרבה הצער, מתקפת הסייבר המדוברת בהחלט לא תהיה האחרונה שתנצל את מצב הקורונה העולמי הנוכחי כדי לפגוע באבטחת המידע של עסקים.

מקור: www.habr.com