APT користи коронавирус за ширење малициозен софтвер

Неодамна беше откриена група APT закани со помош на кампањи за кражба на копје за да се искористи пандемијата на коронавирус за да се дистрибуира нивниот малициозен софтвер.

Светот моментално се соочува со исклучителна ситуација поради актуелната пандемија на коронавирус Ковид-19. За да се обидат да го запрат ширењето на вирусот, голем број компании ширум светот започнаа нов начин на работа на далечина (далечина). Ова значително ја прошири површината на нападот, што претставува голем предизвик за компаниите во однос на безбедноста на информациите, бидејќи тие сега треба да воспостават строги правила и да преземат акција. голем број мерки да се обезбеди континуитет на работењето на претпријатието и неговите ИТ системи.

Сепак, проширената површина на нападот не е единствениот сајбер ризик што се појави во последните неколку дена: многу сајбер криминалци активно ја искористуваат оваа глобална несигурност за да спроведуваат кампањи за фишинг, дистрибуираат малициозен софтвер и претставуваат закана за безбедноста на информациите на многу компании.

APT ја искористува пандемијата

Кон крајот на минатата недела, беше откриена група за напредна постојана закана (APT) наречена Vicious Panda која водеше кампањи против копје фишинг, користејќи ја пандемијата на коронавирус за ширење на нивниот малициозен софтвер. Е-поштата му кажа на примачот дека содржи информации за коронавирусот, но всушност е-поштата содржи две малициозни RTF (Формат на богат текст) датотеки. Ако жртвата ги отвори овие датотеки, се активираше тројанец за далечински пристап (RAT), кој, меѓу другото, можеше да прави слики од екранот, да создава списоци со датотеки и директориуми на компјутерот на жртвата и да презема датотеки.

Кампањата досега беше насочена кон јавниот сектор на Монголија, а според некои западни експерти, таа претставува најнов напад во тековната кинеска операција против различни влади и организации ширум светот. Овој пат, особеноста на кампањата е што ја користи новата глобална ситуација со коронавирус за поактивно да ги инфицира своите потенцијални жртви.

Фишинг-мејлот се чини дека е од монголското Министерство за надворешни работи и тврди дека содржи информации за бројот на луѓе заразени со вирусот. За да ја вооружат оваа датотека, напаѓачите користеа RoyalRoad, популарна алатка меѓу кинеските производители на закани која им овозможува да креираат сопствени документи со вградени објекти кои можат да ги искористат пропустите во Equation Editor интегриран во MS Word за да создадат сложени равенки.

Техники за преживување

Откако жртвата ќе ги отвори злонамерните RTF-датотеки, Microsoft Word ја искористува ранливоста за да ја вчита злонамерната датотека (intel.wll) во папката за стартување на Word (%APPDATA%MicrosoftWordSTARTUP). Користејќи го овој метод, не само што заканата станува еластична, туку и го спречува детонирањето на целиот синџир на инфекции кога работи во песок, бидејќи Word мора да се рестартира за целосно да се стартува малициозниот софтвер.

Датотеката intel.wll потоа вчитува датотека DLL што се користи за преземање на малициозен софтвер и за комуникација со серверот за команди и контрола на хакерот. Серверот за команда и контрола работи строго ограничен временски период секој ден, што го отежнува анализирањето и пристапот до најсложените делови од синџирот на инфекција.

И покрај ова, истражувачите успеаја да утврдат дека во првата фаза од овој синџир, веднаш по добивањето на соодветната команда, RAT се вчитува и дешифрира, а DLL се вчитува, кој се вчитува во меморијата. Архитектурата слична на приклучокот сугерира дека има и други модули покрај товарот што се гледа во оваа кампања.

Заштитни мерки против нов АПТ

Оваа злонамерна кампања користи повеќе трикови за да се инфилтрира во системите на своите жртви и потоа да ја загрози нивната информациска безбедност. За да се заштитите од вакви кампањи, важно е да преземете низа мерки.

Првиот е исклучително важен: важно е вработените да бидат внимателни и внимателни кога примаат е-пошта. Е-поштата е еден од главните вектори на напади, но речиси ниту една компанија не може без е-пошта. Ако примите е-пошта од непознат испраќач, подобро е да не ја отворате, а ако ја отворите, тогаш не отворајте никакви прилози и не кликнете на некоја врска.

За да ја загрози безбедноста на информациите на своите жртви, овој напад ја искористува ранливоста во Word. Всушност, причината се незакрпените пропусти успех на многу сајбер напади, и заедно со други безбедносни проблеми, тие можат да доведат до големи прекршувања на податоците. Затоа е толку важно да се примени соодветната закрпа за да се затвори ранливоста што е можно поскоро.

За да се отстранат овие проблеми, постојат решенија специјално дизајнирани за идентификација, управување и инсталирање на закрпи. Модулот автоматски бара закрпи неопходни за да се обезбеди безбедност на компјутерите на компанијата, давајќи приоритет на најитните ажурирања и закажувајќи ја нивната инсталација. Информациите за закрпи за кои е потребна инсталација се известуваат до администраторот дури и кога се откриени експлоатирања и малициозен софтвер.

Решението може веднаш да предизвика инсталирање на потребните закрпи и ажурирања, или нивната инсталација може да се закаже од централната конзола за управување базирана на веб, доколку е потребно, изолирајќи ги незакрпените компјутери. На овој начин, администраторот може да управува со закрпи и ажурирања за да ја одржува компанијата непречена работа.

За жал, дотичниот сајбер напад сигурно нема да биде последен што ќе ја искористи моменталната глобална ситуација со коронавирус за да ја загрози безбедноста на информациите на бизнисите.

Извор: www.habr.com