Verificou-se que o grupo de hackers Evilnum usa ferramentas avançadas de hackers de outros coletivos criminosos conhecidos como o Cobalt, FIN6 e outros. Esse grupo de hackers em particular realizou campanhas de alto impacto no passado e está ativo desde pelo menos 2018 quando seus primeiros grandes ataques foram detectados.
Ferramentas de hacking avançadas da Cobalt, FIN6 e outros agora são usados pelos hackers Evilnum
o Evilnum hackers foram vistos executando outra campanha importante contra alvos de todo o mundo. Tradicionalmente, eles organizam ataques contra organizações e empresas financeiras incluindo startups modernas de fintech, bem como plataformas de negociação e investimento on-line. O principal objetivo dos criminosos é acessar dados financeiros confidenciais nos servidores. O seguinte tipo parece ser o foco dos hackers:
- Documentos e planilhas que contêm operações de investimento e negociação
- Apresentações que contêm operações internas da empresa
- Credenciais de software de negociação, contas e licenças
- Cookies do Google Chrome e informações da sessão
- Dados de login para contas de email
- Dados do cartão de pagamento de usuários particulares e prova de identidade
Os ataques são feitos por enviando mensagens de email de phishing que são preparados em massa e enviados aos usuários de destino. Táticas comuns são seguidas, como a representação de serviços e empresas famosas: notificações, boletins e outro tipo de conteúdo serão preparados pelos hackers. Nessas mensagens de email Arquivos de atalho do LNK anexados que fingem ser arquivos de imagem - isso é feito usando o técnica oculta de dupla extensão — um arquivo será mascarado como um tipo de arquivo, mas seja de outro. Nesse caso, quando os usuários o iniciam, código JavaScript será executado. Essa técnica de entrega inicial iniciará um arquivo de chamariz e excluirá o LNK. O arquivo de isca é usado para implantar o malware pretendido.
No caso do grupo Evilnum, vários malwares que foram desenvolvidos e / ou usados anteriormente pelo Cobalt, FIN6 e outros criminosos são entregues usando esta abordagem.
Como ferramentas de hackers conhecidas estão sendo usadas pela gangue Evilnum
Um costume módulo de espionagem chamado Evilnum é destaque na campanha detectada, usada para espionar as vítimas quando é executada. Múltiplo Pitão scripts e ferramentas baseadas em malware e também são utilizados durante as amostras detectadas. Um dos malwares notáveis é o uso do Malware Golden Chicken — uma Malware como serviço (MaaS). Este é um conjunto de ferramentas de hackers usado por vários criminosos, adquirido como um serviço de assinatura.
Para tornar mais difícil rastrear a atividade de malware, os servidores de comando e controle não têm nomes de domínio, mas são definidos no vírus como IPs diretos. A lista é extraída de fontes como GitHub, GitLab e Reddit — eles são mantidos pelos hackers usando contas criadas especialmente para esse fim. o lista completa de malware implantado mostra que os seguintes vírus serão usados pelos hackers Evilnum:
- TerraRecon — Uma ferramenta de hackers para coleta de informações programada para procurar instâncias específicas de hardware e software. O malware está focado na segmentação de provedores e dispositivos de serviços de varejo e pagamento.
- TerraStealer — Este é um ladrão de informações que também é conhecido como ZONA ou StealerOne VenomLNK que se supõe fazer parte do Kit VenomKit.
- TerraWiper — Essa é uma ferramenta perigosa projetada para excluir o Master Boot Record (MBR). Quando isso for feito, as vítimas não conseguirão inicializar seus computadores corretamente.
- TerraCrypt — Este é um ransomware perigoso, que é conhecido como PureLocker que criptografará os arquivos dos usuários de destino com uma cifra forte e depois chantageará e extorquirá as vítimas por um pagamento em criptomoeda. Este ransomware é compatível com todos os sistemas operacionais de desktop modernos: Microsoft Windows, macOS e Linux.
- TerraTV — Este malware irá seqüestrar aplicativos TeamViewer.
- lite_more_eggs — Esta é uma versão reduzida de um carregador de malware.
É evidente que ataques tão complexos continuarão a ser organizados contra alvos de alto impacto.
Martin Beltov
Martin formou-se na publicação da Universidade de Sofia. Como a segurança cibernética entusiasta ele gosta de escrever sobre as ameaças mais recentes e mecanismos de invasão.
Me siga: