De DeathStalker-hackgroep is een recent ontdekte malwaregroep waarvan is vastgesteld dat deze kleine en middelgrote bedrijven over de hele wereld infiltreert. Uit het onderzoek blijkt dat hun primaire focus ligt op instellingen die actief zijn in de financiële sector. Het kwam een paar jaar geleden voor het eerst naar voren als een hacker-for-fire-groep en is nu uitgegroeid tot een veel ervarener en gevaarlijker collectief.
Ervaren DeathStalker Hacking Grou lanceert aanval op financiële bedrijven over de hele wereld
Computerbeveiligingsonderzoekers geven aan dat de DeathStalker-hackgroep de boosdoener is achter talloze krachtige aanvalscampagnes. Ze lijken erop gefocust te zijn financiële instellingen over de wereld: de bekende continenten die tot nu toe zijn getroffen, omvatten Europa, Azië en Latijns-Amerika. Van de beschikbare informatie het is duidelijk dat ze hun opgedane ervaring hebben gebruikt om succesvolle hackaanvallen uit te voeren.
Wat we weten is dat de groep door verschillende partijen is benaderd om tegen betaling inbraken uit te voeren tegen doelnetwerken. Deze criminele huurlingen zijn sindsdien actief 2018, mogelijk zelfs 2012 en ze kunnen worden gekoppeld aan andere hackgroepen. Ze werden bekend bij de beveiligingsgemeenschap dankzij het op PowerShell gebaseerde implantaat dat ze hebben gebruikt Bevoegd. Het wordt primair via phishing SPAM-e-mailberichten die in bulk worden voorbereid en verzonden. De slachtoffers ontvangen een LNK-bestand in de inhoud of bijlagen. Het is vermomd als een regulier kantoordocument bij het opstarten zal het echter de respectievelijke Powersing-payload uitvoeren. Het zal een zeer complexe infiltratie in meerdere fasen op het lokale systeem uitvoeren.
Uit de analyse van de monsters blijkt dat het implantaat zichzelf zal installeren als een hardnekkig virus – -het werkt wanneer de computer is ingeschakeld en maakt het ook moeilijk om toegang te krijgen tot herstelopties of om handmatige gebruikersverwijderingsgidsen te volgen. Het bevat ook een Trojaans paard-agent die een sterke verbinding tot stand brengt met een hacker-gecontroleerde server en de hackers in staat stelt de controle over de machines over te nemen.
Hierdoor kunnen de hackers de slachtoffers praktisch constant bespioneren, inclusief de mogelijkheid om automatisch screenshots van de gebruikersactiviteit te maken en deze naar de slachtoffers te sturen. Het zorgt ook voor het uitvoeren van willekeurige code — hierdoor zijn niet alleen verschillende soorten systeemwijzigingen mogelijk, maar ook de mogelijkheid om andere malware in te zetten.
Tijdens de DeathStalker-hackaanval blijkt uit de beveiligingsanalyse dat de hackers verschillende openbare diensten hebben gebruikt als dead drop resolvers — door ze te gebruiken als host van inhoud, kunnen de hackers de malware op afstand instrueren om opdrachten uit te voeren of URL's te verstrekken voor de malware-payloads. Ze worden gecodeerd in berichten in platte tekst als gewone communicatie, maar elke regel geeft eigenlijk een verborgen code aan die de lokale virussen kunnen begrijpen. De Powersing PowerShell-scripts blijken de volgende te gebruiken:
Google , Imgur, Reddit, ShockChan, tumblr, Tjilpen, YouTube en WordPress
De experts zijn van mening dat deze geavanceerde hacktool zich zal blijven ontwikkelen en gebruiken bij aanstaande aanvallen. Dit alles toont aan dat computercriminelen vastbesloten zijn om complexe manieren te bedenken om zoveel mogelijk doelwitten te infecteren.
Martin Beltov
Martin studeerde af met een graad in de uitgeverij van de universiteit van Sofia. Als een cyber security enthousiast dat hij geniet van het schrijven over de nieuwste bedreigingen en de mechanismen van inbraak.
Volg mij: