Novi opasni malver WarmCookie krije se u linkovima i prilozima u emailovima

Opisi virusa, 24.10.2024, 12:00 PM

Istraživači sajber bezbednosti iz kompanije Cisco Talos upozorili su na novi malver pod nazivom WarmCookie, takođe poznat kao BadSpace, koji se širi od aprila 2024.

Prema postu na blogu kompanije Cisco Talos, malver na zaraženim sistemima omogućava infekcije drugim malverima kao što su CSharp-Streamer-RAT i Cobalt Strike.

WarmCookie kampanje koriste različite teme, kao što su ponude za posao ili fakture, da bi privukle žrtve da kliknu na linkove ili otvore priloge u emailovima i tako pokrenu proces infekcije.

WarmCookie nudi niz funkcionalnosti, uključujući izvršavanje komandi, snimanje ekrana i instalaciju dodatnog malvera, što ga čini vrednim alatom za održavanje dugoročne kontrole nad kompromitovanim sistemima.

Analiza takođe povezuje WarmCookie sa grupom TA866, koja je aktivna od 2023. WarmCookie ima sličnosti sa Resident backdoorom, koji je ranije korišćen u napadima grupe TA866. Istraživači su primetili preklapanje u osnovnoj funkcionalnosti i kodu, što ukazuje da su ova dva malvera verovatno delo istih programera.

„Iako postoje značajna preklapanja u kodu i implementacijama funkcionalnosti u Resident backdooru i WarmCookie, WarmCookie sadrži znatno robusniju funkcionalnost i podršku za komande u poređenju sa Resident backdoorom,“ rekao je Cisco Talos.

Još jedna razlika je i to što se WarmCookie obično koristi da obezbedi početni pristup, dok se Resident backdoor instalira nakon postavljanja nekoliko drugih komponenti kao što su WasabiSeed, Screenshotter i AHK Bot.

Lanac infekcije sa WarmCookie obično počinje sa JavaScript zlonamernim programima za preuzimanje koji se isporučuju ili putem malspama ili preko reklama. Ove skripte preuzimaju WarmCookie, omogućavajući napadačima da zadrže pristup u kompromitovanom okruženju.

Najnoviji uzorci koje je primetio Cisco Talos pokazuju da se WarmCookie neprestano razvija, sa ažuriranjima njegovog mehanizma postojanosti, komandne strukture i mogućnosti detekcije sandboxa.

Istraživači očekuju da će WarmCookie nastaviti da se razvija a njegova veza sa TA866 i sličnosti sa Resident backdoorom ukazuju na kontinuirani napor da se naprave sofisticirani alati za dugoročnu sajber špijunažu i eksploataciju.

Foto: wutthichai charoenburi | Pexels