Evilnum-hacking-gruppen har vist sig at bruge avancerede hacking-værktøjer fra andre velkendte kriminelle kollektiver som Cobalt, FIN6 og andre. Denne særlige hackinggruppe har kørt meget effektive kampagner i fortiden og har været aktiv siden i det mindste 2018 da deres første større angreb blev opdaget.
Avancerede hackeværktøjer af Cobalt, FIN6 og andre bruges nu af Evilnum Hackere
Den Evilnum hackere er blevet set til at køre en anden større kampagne mod mål fra hele verden. Traditionelt har de organiseret angreb mod finansielle organisationer og virksomheder inklusive moderne fintech-startups, såvel som online-handel og investeringsplatforme. Kriminelle hovedmål er at få adgang til følsomme økonomiske data på serverne. Følgende type ser ud til at være i fokus for hackerne:
- Dokumenter og regneark, der indeholder investerings- og handelsoperationer
- Præsentationer, der indeholder interne virksomhedsoperationer
- Handelssoftwareoplysninger, konti og licenser
- Google Chrome-cookies og sessionoplysninger
- Login-data til e-mail-konti
- Private brugers betalingskortdata og identitetsbevis
Angrebene er foretaget af udsendelse af phishing-e-mail-meddelelser som er klargjort i bulk og sendt til målbrugerne. Almindelige taktikker følges, såsom efterligning af berømte tjenester og virksomheder: underretninger, nyhedsbreve og andet slags indhold udarbejdes af hackere. I disse e-mail-beskeder LNK genvejsfiler vil blive vedhæftet, som foregiver at være billedfiler - dette gøres ved hjælp af skjult dobbeltudvidelsesteknik — en fil maskeres som en filtype, men i stedet for at være en anden. I dette tilfælde, når brugerne starter det a JavaScript-kode vil blive kørt. Denne indledende leveringsteknik starter en lokkefil og sletter derefter LNK. Decoy-filen bruges til at distribuere den tilsigtede malware.
I tilfælde af Evilnum-gruppen forskellige malware, der tidligere er udviklet og / eller brugt af Cobalt, FIN6 og andre kriminelle leveres ved hjælp af denne tilgang.
Sådan bruges velkendte hackeværktøjer af Evilnum Gang
En brugerdefineret spioneringsmodul kaldet Evilnum vises i den opdagede kampagne, der bruges til at spionere på ofrene, når det køres. Mange Python baserede scripts og værktøjer og malware bruges også under de fundne prøver. En af de bemærkelsesværdige malware er brugen af Golden Chicken malware — en Malware-as-a-service (Maas). Dette er et hacking-værktøjssæt, der bruges af forskellige kriminelle, der købes som en abonnementstjeneste.
For at gøre det vanskeligere at spore malware-aktiviteten har kommando- og kontrolserverne ikke domænenavne, men er indstillet i virussen som direkte IP'er. Listen trækkes ind fra kilder som f.eks GitHub, GitLab og Reddit — de vedligeholdes af hackere, der bruger specielt oprettede konti til dette formål. Den fuld liste over malware der er indsat viser, at følgende vira vil blive brugt af Evilnum hackere:
- TerraRecon — Et hackingværktøj til informationsindsamling, der er programmeret til at lede efter specifikke hardware- og software-forekomster. Malware er fokuseret på at målrette detailhandlere og betalingstjenesteudbydere og apparater.
- TerraStealer — Dette er en informationstealer, som alternativt er kendt som ZONE eller StealerOne VenomLNK som antages at være en del af VenomKit-sæt.
- TerraWiper — Dette er et farligt værktøj, der er designet til at slette Master Boot Record (MBR). Når dette er gjort, vil ofrene ikke være i stand til at starte deres computere ordentligt.
- TerraCrypt — Dette er et farligt løseprogram, som alternativt er kendt som PureLocker som krypterer målbrugerfiler med en stærk chiffer og derefter afpresning og afpresning af ofrene for en cryptocurrency-betaling. Denne ransomware er kompatibel med alle moderne desktop-operativsystemer: Microsoft Windows, macOS og Linux.
- TerraTV — Denne malware vil kapre TeamViewer-applikationer.
- lite_more_eggs — Dette er en reduceret version af en malware-loader.
Det er åbenlyst, at sådanne komplekse angreb fortsat vil blive organiseret mod mål med høj virkning.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: