Sajber kriminalci u 80% napada koriste samo tri malvera

Vesti, 28.08.2023, 11:00 AM

Tri malvera koji učitavaju druge malvere na inficirane sisteme, QakBot, SocGholish i Raspberry Robin, umešani su u 80% incidenata koji su se dogodili od početka godine.

Učitavači malvera (loader) se koriste kao sredstvo za infekciju sistema drugim malverima, kao što su ransomware, virusi, trojanci ili crvi. Oni su jedan od alata koji napadači najčešće koriste da učitaju malvere u početnoj fazi sajber napada.

Istraživači kompanije ReliaQuest otkrili su da tri malvera imaju lavovski udeo u incidenatima koji su se dogodili od početka godine.

QakBot, koji se povezuje sa ransomware grupom Black Basta, dizajniran je kao bankarski trojanac, a zatim nadograđen tako da je postao „svestrani“ malver. QakBot obezbeđuje napadačima početni pristup ciljanim mrežama, a takođe isporučuje malvere koji napadačima omogućavaju daljinski pristup, krade osetljive podatke, pomaže bočno kretanje i daljinsko izvršavanje koda. Do infekcije QakBotom obično dolazi tako što žrtve dobiju mejl sa mamcem koji je prilagođen žrtvi, kao što su radni nalozi, hitni zahtevi, fakture, fajlovi ili linkovi.

SocGholish, takođe poznat kao FakeUpdates, obično je maskiran u legitimna ažuriranja softvera. Ovaj loader se isporučuje bez interakcije korisnika.

„Posetioci široke mreže kompromitovanih veb sajtova su prevareni da preuzmu „ažuriranja“, obično putem upita pregledača ili drugih zahteva za ažuriranje za Microsoft Teams i Adobe Flash“, kažu istraživači.

SocGholish se povezuje sa grupom Evil Corp iz Rusije, ali i sa brokerom za početni pristup Exotic Lily, koji sprovodi veoma sofisticirane fišing kampanje da bi dobio početni pristup i prodao ga ransomware grupama ili drugim sajber kriminalcima.

Distributeri SocGholisha koriste taktike socijalnog inženjeringa, što znači da je oprez ključan za minimiziranje ove pretnje.

Raspberry Robin je „neuhvatljivi loader“ koji se povezuje sa brojnim grupama, uključujući Evil Corp i Silence (Whisper Spider). Do infekcije dolazi preko USB uređaja, kada se cmd.exe pokrene i izvrši LNK fajl na zaraženom USB-u. LNK fajl sadrži komande koje pokreću Windows procese, kao što je msiexec.exe, da bi se preuzeo Raspberry Robin.

Raspberry Robin je korišćen za isporuku ransomwarea i drugih malvera, kao što su „Cl0p“, „LockBit“, „TrueBot“ i „Flawed Grace“.

Osim navedenih malvera, sajber kriminalci na sličan način koriste i malvere „Gootloader“, „Guloader“, „Chromeloader“ i „Ursnif“, ali njihov udeo u sajber napadima je daleko manji.

Foto: Pixabay