Grupa Charming Kitten ponovo napada, ovog puta žrtve su korisnici macOS

Opisi virusa, 10.07.2023, 08:30 AM

Grupa Charming Kitten ponovo napada, ovog puta žrtve su korisnici macOS

Istraživači bezbednosti iz kompanije Proofpoint primetili su nove napade zloglasne APT grupe Charming Kitten (poznate i po nazivima APT42 ili Phosphorus) koja sada koristi novi malver nazvan NokNok za napade na macOS sisteme. Napadi su počeli u maju, a napadači ovog puta koriste drugačiji lanac infekcije nego u ranijim napadima - umesto Word dokumenata i makroa koje je grupa ranije koristila sada se koriste LNK fajlovi koji učitavaju malver.

Od 2015. kada je prvi put primećena, grupa Charming Kitten je izvela najmanje 30 operacija u 14 zemalja. Grupa se povezuje sa Iranom, tačnije sa Korpusom islamske revolucionarne garde, a u septembru 2022. godine SAD su identifikovale i optužile članove ove grupe.

Napadači se predstavljaju kao nuklearni eksperti iz SAD, a u mnogim slučajevima u razgovor ubacuju druge osobe kako bi delovali uverljivije i ulili poverenje žrtvama.

Kada stekne poverenje žrtve, grupa šalje link koji sadrži Google Script makro, preusmeravajući žrtvu na Dropbox URL na kome se nalazi RAR fajl sa dropperom za malver koji sadrži PowerShell kod i LNK fajl. Malver koji preuzima žrtva koja koristi Windows je GorjolEcho, jednostavni backdoor koji izvršava komande napadača. Da ne bi izazvao sumnju kod žrtve, GorjolEcho otvara PDF fajl sa temom koja je povezana sa razgovorom koji su napadači prethodno vodili sa žrtvom.

Međutim, ako žrtva koristi macOS, što će napadači shvatiti ako ne uspeju da inficiraju sistem backdoorom, oni šalju novi link za „library-store[.]camdvr[.]org“ koji hostuje ZIP fajl maskiran u RUSI (Royal United Services Institute) VPN aplikaciju.

Prilikom pokretanja fajla u arhivi, učitava se NokNok malver koji je kao i GorjolEcho backdoor na sistemu žrtve.

NokNok prikuplja informacije o sistemu, uključujući verziju operativnog sistema, pokrenute procese i instalirane aplikacije. Sve prikupljene informacije se šifriraju i šalju na server napadača.

Osim prikupljanja podataka, NokNok bi mogao imati i specifičnije funkcionalnosti vezane za špijunažu. Istraživači sumnjaju na tu mogućnost zbog sličnosti koda NokNoka sa backdoorom GhostEcho kog su ranije analizirali i koji sadrži module koji mu omogućavaju pravljenje skrinšotova, izvršavanje komandi i uklanjanje tragova infekcije. Oni smatraju da NokNok verovatno ima i ove funkcije.

Foto: Pixabay


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Novi, opasni trojanac koji krade lozinke širi se preko YouTube-a

Novi, opasni trojanac koji krade lozinke širi se preko YouTube-a

Istraživači bezbednosti iz CYFIRMA otkrili su novi malver nazvan Neptun RAT koji inficira Windows uređaje i krade lozinke. Malver koga bezbednosni ... Dalje

Novi malver koji krade lozinke širi se preko YouTube-a

Novi malver koji krade lozinke širi se preko YouTube-a

Novootkriveni malver za krađu informacija pod nazivom Arcane Stealer krade mnoštvo korisničkih podataka, uključujući podatke za prijavljivanje z... Dalje

Novi malver MassJacker krije se u piratskom softveru

Novi malver MassJacker krije se u piratskom softveru

Korisnici koji traže piratski softver mete su napada koji rezultiraju infekcijom novim malverom pod nazivom MassJacker. Prema nalazima kompanije Cybe... Dalje

Hakeri koriste Google Docs i Steam za kontrolu malvera koji kradu lozinke

Hakeri koriste Google Docs i Steam za kontrolu malvera koji kradu lozinke

Google Docs i druge pouzdane platforme se koriste za skrivenu kontrolu malvera koji kradu, lozinke, logove ćaskanja i osetljive podatke (infostealer... Dalje

BlackLock je nova opasna ransomware banda

BlackLock je nova opasna ransomware banda

Istraživači iz kompanije za sajber bezbednost Reliaqest upozoravaju na ekstremno opasnu ransomware bandu BlackLock koja se pojavila u martu prošle ... Dalje