Kineski hakeri koriste stari Windows logo za sakrivanje opasnog malvera

Vesti, 03.10.2022, 10:30 AM

Kineski hakeri koriste stari Windows logo za sakrivanje opasnog malvera

Istraživači kompanije Symantec otkrili su kampanju hakerske grupe „Witchetty“, koja koristi steganografiju da sakrije backdoor malver u logou Windowsa.

Veruje se da grupa Witchetty koja se prati i pod imenom LookingFrog, ima bliske veze sa APT10 („Cicada“, „Stone Panda“ ili TA429 ), kineskim akterom pretnji koga podržava država. Grupa se takođe smatra delom TA410, grupom operativaca koji su ranije bili povezivani sa napadima na američke kompanije iz energetskog sektora.

Symantec je objavio da grupa vodi novu kampanju sajber špijunaže pokrenutu u februaru 2022. koja je do sada ciljala dve vlade na Bliskom istoku i berzu u Africi i koja je još uvek u toku.

Hakeri koriste brojne alate kako bi ciljali različite ranjivosti, ali i steganografiju da sakriju svoj malver od antivirusnog softvera.

Steganografija je tehnika skrivanja tajnih poruka (a u ovom slučaju malvera) u fajl koji je javan, kao što je slika, kako bi se izbeglo otkrivanje. Na primer, haker može da napravi sliku koja se ispravno prikazuje na računaru, ali zapravo sadrži zlonamerni kod koji se iz nje može izdvojiti.

U kampanji koju je otkrio Symantec, Witchetty koristi steganografiju da sakrije backdoor malver u bitmap slici starog Windows logotipa koji se nalazi u GitHub repozitorijumu.

Fajl se hostuje na pouzdanom servisu u oblaku a ne na serveru za komandu i kontrolu (C2) aktera pretnje, tako da su šanse za podizanje bezbednosnih alarma prilikom preuzimanja svedene na minimum.

Napad počinje tako što hakeri dobijaju početni pristup mreži iskorišćavanjem ProxyLogon i ProxyShell ranjivosti u Exchange Serveru (CVE-2021-34473, CVE-2021-34523 i CVE-2021-31207 ili CVE-2021-26855 i CVE- 2021-27065).

Zatim, napadači preuzimaju backdoor Stegmap koji se krije u slici, i koji kao i svaki drugi backdoor ima široku lepezu funkcija koje mu omogućavaju da obavlja brojne zlonamerne aktivnosti, između ostalih, manipulaciju fajlovima, preuzimanje i pokretanje drugih malvera, prekidanje procesa, modifikacije Windows registra, i izvlačenje fajlova sa zaraženog sistema.

„ Witchetty je pokazao sposobnost da neprekidno usavršava i osvežava svoj set alata kako bi ugrozio ciljeve od interesa“, rekli su istraživači.

TA410 i Witchetty ostaju aktivne pretnje vladama i državnim organizacijama širom sveta. Najbolji način da se spreče njihovi napadi je da se bezbednosna ažuriranja primene čim budu objavljena jer, kao što vidimo, u ovoj kampanji hakeri se oslanjaju na iskorišćavanje prošlogodišnjih ranjivosti zahvaljujući kojima hakuju mreže, koristeći prednost loše administracije javno izloženih servera.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

LastPass objavio da je ponovo hakovan, kompanija tvrdi da su lozinke korisnika bezbedne

LastPass objavio da je ponovo hakovan, kompanija tvrdi da su lozinke korisnika bezbedne

Karim Tuba, izvršni direktor LastPassa, menadžera lozinki koji ima više od 25 miliona korisnika, objavio je da tim za bezbednost kompanije trenutno... Dalje

Agencije za zaštitu privatnosti istražuju tvrdnje o curenju telefonskih brojeva 487 miliona korisnika WhatsAppa

Agencije za zaštitu privatnosti istražuju tvrdnje o curenju telefonskih brojeva 487 miliona korisnika WhatsAppa

Tvrdnje da su stotine miliona telefonskih brojeva korisnika WhatsAppa procurile privukle su pažnju regulatora za zaštitu podataka. U oglasu na haker... Dalje

Acer laptop računari imaju grešku koju hakeri mogu iskoristiti za preuzimanje potpune kontrole nad uređajem

Acer laptop računari imaju grešku koju hakeri mogu iskoristiti za preuzimanje potpune kontrole nad uređajem

Acer je objavio ažuriranje firmwarea da bi rešio bezbednosnu ranjivost koja bi se mogla iskoristiti da bi se isključio UEFI Secure Boot na ranjivim... Dalje

Na hakerskom forumu prodaju se podaci 500 miliona korisnika WhatsAppa, među ukradenim podacima i podaci korisnika iz Srbije

Na hakerskom forumu prodaju se podaci 500 miliona korisnika WhatsAppa, među ukradenim podacima i podaci korisnika iz Srbije

Na jednom hakerskom forumu, koji se pojavio kao alternativa sada ugašenom Raidforums prodaje se 487 miliona brojeva mobilnih telefona korisnika Whats... Dalje

Ruske hakerske grupe ukrale više od 50 miliona lozinki za Steam, Roblox, Amazon i PayPal naloge

Ruske hakerske grupe ukrale više od 50 miliona lozinki za Steam, Roblox, Amazon i PayPal naloge

34 ruske hakerske grupe ukrale su najmanje 50 miliona lozinki u prvih sedam meseci 2022. uz pomoć malvera koji kradu informacije, kao što su RedLine... Dalje