Det er en hemmelighed for nogen (i INFOSEC verden) at den udnytter kit markedet er blevet omarrangeret til at opfylde de aktuelle behov for malware distributører.
Bare flere uger siden, der var en bemærkelsesværdig malvertising hændelse på den populære hjemmeside answers.com som har omkring 2 million besøg dagligt. Scenariet var meget lig både Angler og Neutrino, men det var faktisk RIG udfører arbejdet. Det plejede det domæne shadowing teknik og HTTPS åben omdirigering fra Rocket Fuel.
Forskeren bag Malware behøver ikke kaffe (MDNC) observeret en medio august overgang mange ondsindede operationer mod RIG udnytte kit. Kampagnerne blev distribuere flere geo-fokuseret bank trojanske heste og mindre CryptXXX ransomware. I løbet af sine undersøgelser, MDNC kom også på tværs af en (eventuelt) ny udnytte kit.
MDNC var ”forsøger at forstå, at flytte", langs mistanke om forekomst af en intern TDS (Trafik Distribution System) inde RIG Exploit Kit, mistanke som senere blev bekræftet.
Denne specifikke funktion menes at have optrådt i første omgang i det EK markedet med Blackhole, og det forsvandt med nukleare og Angler.
Hvad er de TDS funktionen handler om?
TDS træk tillader udnytte kit operatør at vedhæfte flere nyttelast til en unik tråd. Det er faktisk et centralt element til en nyttelast sælger. Endvidere, nyttelasten er tilpasset indstillingerne for målet GEO og OS. Men, der er den betingelse, at ”du nødt til at oprette en Exploit Kit tråd pr nyttelast, bruge en ekstern TDS (ligesom Keitaro / Sutra / BlackHat TDS / SimpleTDS / BossTDS, etc…) og fra dette TDS, pege trafikken til den korrekte Exploit Kit tråd (eller, hvis du køber trafik, fortæl din trafik udbyder, hvor at sende trafik for hvert målrettet land)".
Til sidst, mange malware-slippe operationer skiftede til RIG. Mod slutningen af september, 2016, neutrinoen reklamer og bannere forsvundet fra underjordiske fora.
Er der en ny udnytte kit blive formet i dette øjeblik?
Der er opmærksomme på alle de ændringer i EK-markedet, måske er det ikke en tilfældighed, at en ny udnytte kit i øjeblikket diskuteres i de underjordiske fora - Empire Pack. Disse drøftelser afholdes privat og EK er ikke offentlig (endnu?).
interfacet, som bemærket af MDNC, er meget velkendt og antyder RIG. Forskeren gætter på, at Empire Pack lancere den kunne relateres til den første bølge af RIG-drevne angreb. Måske Empire Pack er en RIG instans ledes af en forhandler / nyttelast sælger?
For fuld teknisk videregivelse, springe til den oprindelige forskning.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: