Moduláris rosszindulatú szoftverek: Az új, lopakodó támadás, amely ellopja az adatait

Hirdetés

A rosszindulatú programok minden formában és méretben kaphatók. Ezenkívül az évek során jelentősen megnőtt a rosszindulatú programok kifinomulása. A támadók rájönnek, hogy a rosszindulatú csomag minden aspektusának egyetlen hasznos teherbe történő beillesztése nem mindig a leghatékonyabb módszer.

Az idő múlásával a rosszindulatú programok modulárissá váltak. Vagyis egyes rosszindulatú programok változatai különféle modulokat használhatnak annak megváltoztatására, hogy azok miként befolyásolják a célrendszert. Tehát mi a moduláris rosszindulatú program és hogyan működik?

Mi a moduláris malware?

A moduláris malware fejlett fenyegetés, amely a rendszert különböző szakaszokban támadja meg. A bejárati ajtón keresztüli robbantás helyett a moduláris rosszindulatú szoftverek finomabb megközelítést alkalmaznak.

Ezt úgy teszi meg, hogy először csak az alapvető elemeket telepíti. Ezután ahelyett, hogy rajongást idéz elő, és figyelmeztette a felhasználókat annak jelenlétére, az első modul felkutatja a rendszer és a hálózat biztonságát; ki a felelős, milyen védelem működik, ahol a rosszindulatú programok találhatnak sebezhetőségeket, hogy melyik kihasználóknak van a legnagyobb esélye a sikerre stb.

Miután sikeresen kigondolta a helyi környezetet, az első szakaszban lévő rosszindulatú programok tárcsázhatják a parancsnoki és vezérlő (C2) szerverüket. A C2 ezután további utasításokat küldhet további malware modulokkal együtt annak érdekében, hogy kihasználja az adott környezet működését, amelyben a rosszindulatú programok működnek.

A moduláris malware számos előnnyel rendelkezik, szemben a rosszindulatú szoftverekkel, amelyek teljes funkcionalitását egyetlen hasznos teherbe csomagolják.

• A rosszindulatú programok szerzője gyorsan megváltoztathatja a rosszindulatú programok aláírását, hogy elkerülje a víruskeresőket és más biztonsági programokat.
• A moduláris malware széles körű funkcionalitást tesz lehetővé számos környezetben. Ennek során a szerzők reagálhatnak konkrét célokra, vagy alternatívaként külön modulokat jelölhetnek meg egy adott környezetben történő felhasználásra.
• A kezdeti modulok apróak, és kissé könnyebben eltávolíthatók.
• Több malware modul kombinálásával a biztonsági kutatók kitalálhatják, hogy mi fog következni.

A moduláris rosszindulatú programok nem jelentenek hirtelen új veszélyt. A rosszindulatú programok fejlesztői már hosszú ideje hatékonyan használják a moduláris rosszindulatú programokat. A különbség az, hogy a biztonsági kutatók modulárisabb rosszindulatú programokat találnak sokféle helyzetben. A kutatók felfedezték a hatalmas Necurs botnetet is (amely hírhedt a Dridex és Locky ransomware változatok terjesztésére), amely moduláris malware hasznos terheléseket terjeszt. (Egyébként mi a botnet? Mi a botnet, és a számítógép része az egyiknek?A botnetek a rosszindulatú programok, a ransomware, a spam és egyebek fő forrása. De mi a botnet? Hogyan jönnek létre? Ki irányítja őket? És hogyan lehet megállítani őket? Olvass tovább )

Moduláris malware példák

Van néhány nagyon érdekes moduláris malware-példa. Itt van néhány fontolóra vehető.

VPNFilter

A VPNFilter egy nemrégiben megjelenő rosszindulatú program, amely útválasztókat és tárgyak internete (IoT) eszközöket támad meg. A rosszindulatú program három szakaszban működik.

Az első szakasz rosszindulatú programja kapcsolatba lép egy parancs- és vezérlőszerverrel a második szakasz moduljának letöltéséhez. A második szakasz modul adatgyűjtést végez, parancsokat hajt végre, és zavarhatja az eszközkezelést (ideértve az útválasztó, IoT vagy NAS eszköz „átalakítását”). A második szakasz letöltheti a harmadik szakasz moduljait is, amelyek úgy működnek, mint a második szakasz pluginjai. A harmadik szakasz moduljai tartalmaznak egy SCNA forgalomhoz használt csomagszippantót, egy csomag-befecskendező modult és egy modult, amely lehetővé teszi a 2. szakasz rosszindulatú programjainak a Tor hálózaton keresztüli kommunikációját.

tudsz Tudjon meg többet a VPNFilterről, honnan származik, és hogyan tudja észrevenni pont itt.

T9000

A Palo Alto Networks biztonsági kutatói fedetlen a T9000 rosszindulatú program (nincs kapcsolat a Terminátorral vagy a Skynettel... vagy igaz?!).

A T9000 egy intelligencia és adatgyűjtő eszköz. A telepítés után a T9000 lehetővé teszi a támadók számára, hogy „titkosított adatokat gyűjtsenek, képernyőképeket készítsenek meghatározott alkalmazásokról, és kifejezetten a Skype felhasználókat célozzák meg”, valamint a Microsoft Office termékfájljait is. A T9000 különféle modulokkal rendelkezik, amelyek akár 24 különféle biztonsági termék elkerülésére szolgálnak, és a telepítés folyamatát úgy változtatják meg, hogy a radar alatt maradjon.

DanaBot

A DanaBot egy többlépcsős banki trójai, különféle pluginekkel, amelyeket a szerző használ a funkcionalitás kibővítéséhez. (Hogyan kell gyorsan és hatékonyan foglalkozzon a távoli elérésű trójaiakkal. Hogyan lehet egyszerűen és hatékonyan foglalkozni a távoli hozzáférésű trójaiakkalGyanakszik? Ha úgy gondolja, hogy egy távoli hozzáférésű trójai megfertőződött, akkor egyszerűen megszabadulhat tőle az alábbi egyszerű lépések végrehajtásával. Olvass tovább ) Például, 2018 májusában a DanaBot foltos volt az ausztrál bankok elleni támadások sorozatában. Abban az időben a kutatók felfedeztek egy csomagszippantási és -injekciós plugint, egy VNC távoli megtekintési plugint, egy adatgyűjtő plugint és egy Tor plug-ot, amely lehetővé teszi a biztonságos kommunikációt.

„A DanaBot banki trójai, ami azt jelenti, hogy feltétlenül földrajzilag célzott mértékben”, olvassa a Proofpoint DanaBot blogbejegyzését. „A nagy volumenű szereplők általi elfogadás azonban, amint azt az amerikai kampányban láttuk, az aktív fejlesztésre, a földrajzi kiterjesztésre és a folyamatos fenyegető szereplők érdeklődésére utal a rosszindulatú programok iránt. Maga a rosszindulatú program számos elemzést gátló funkciót, valamint frissített stealer és távirányító modulokat tartalmaz, tovább növelve vonzerejét és hasznosságát a fenyegető szereplők számára. ”

Marap, AdvisorsBot és CobInt

Három moduláris malware variációt egyesítek egy részben, ahogyan a Proofpoint fantasztikus biztonsági kutatói mindháromat felfedezték. A moduláris rosszindulatú szoftverek változatai hasonlóak, de eltérő felhasználási lehetőségek vannak. Ezenkívül a CobInt egy kampány részét képezi a Cobalt-csoportnak, egy bűnszervezetnek, amely a bank- és pénzügyi kiberbűnözés hosszú listájához kötődik.

A Marap-ot és az AdvisorsBot-t egyaránt észrevették a védelmi és hálózati feltérképezés célrendszereinek meghatározásában, és arról, hogy a rosszindulatú programoknak meg kell-e tölteniük a teljes hasznos teher-t. Ha a célrendszer elegendő érdeklõdést mutat (például van értéke), akkor a rosszindulatú program felszólítja a támadás második szakaszát.

A többi moduláris malware változathoz hasonlóan a Marap, az AdvisorsBot és a CobInt háromlépéses folyamatot követ. Az első szakasz általában egy fertőzött melléklettel rendelkező e-mail, amely a kezdeti kihasználást hordozza. Ha a kizsákmányolás végrehajtódik, a rosszindulatú program azonnal kéri a második lépést. A második szakasz a felderítő modult tartalmazza, amely felméri a célrendszer biztonsági intézkedéseit és hálózati táját. Ha a rosszindulatú program úgy véli, hogy minden megfelelő, akkor a harmadik és az utolsó modul letöltődik, beleértve a fő hasznos terhet.

A következők ellenőrzőpontjának anaylsis:

• Marap
• AdvisorBot (és PoshAdvisor)
• CobIn

Súlyos testi sértés

A Mayhem egy kissé régebbi moduláris rosszindulatú változat, először 2014-ben jelent meg. A Mayhem azonban továbbra is nagyszerű moduláris malware-példa. A rosszindulatú programok, fedetlen a Yandex biztonsági kutatói, Linux és Unix webszervereket céloznak meg. A rosszindulatú PHP szkript segítségével telepíti.

A telepítés után a szkript számos olyan plugint képes meghívni, amelyek meghatározzák a rosszindulatú programok végső felhasználását.

A beépülő modulok tartalmaznak egy brute force jelszó-krakkolót, amely az FTP, a WordPress és a Joomla fiókokat célozza meg bejáró más kiszolgáltatott kiszolgálók keresésére, és egy eszköz, amely kihasználja a Heartbleed OpenSLL-t sebezhetőség.

DiamondFox

Végső moduláris malware változatunk is az egyik legteljesebb. Néhány okból ez is az egyik leginkább aggasztó.

Első ok: A DiamondFox egy moduláris botnet, amely különféle föld alatti fórumokon használható. A potenciális számítógépes bűnözők megvásárolhatják a DiamondFox moduláris botnet csomagot, hogy hozzáférjenek a fejlett támadási lehetőségek széles skálájához. Az eszközt rendszeresen frissítik, és az összes jó online szolgáltatáshoz hasonlóan személyre szabott ügyfél-támogatást nyújtanak. (Még változási naplóval is rendelkezik!)

Második ok: A DiamondFox moduláris botnet számos bővítménnyel rendelkezik. Ezeket egy irányítópulton keresztül lehet be- és kikapcsolni, amely intelligens otthoni alkalmazásként nem lenne helyén. A beépülő modulok tartalmaznak személyre szabott kémprogramokat, hitelesítő adatok ellopására szolgáló eszközöket, DDoS eszközöket, keyloggereket, spamküldőket és még egy RAM kaparót is.

Figyelem: a következő videó olyan zenét tartalmaz, amelyben élvezheti vagy nem élvezheti.

Moduláris malware támadás leállítása

Jelenleg egyetlen speciális eszköz sem védi meg a moduláris malware változatokat. Néhány moduláris malware változatnak földrajzi hatálya korlátozott. Például a Marap, az AdvisorsBot és a CobInt elsősorban Oroszországban és a FÁK államokban található meg.

A Proofpoint kutatói mindazonáltal rámutattak, hogy a jelenlegi földrajzi korlátozások ellenére is, ha vannak a bűnözők egy ilyen megalapozott bűnözői szervezetet moduláris rosszindulatú szoftverekkel látnak, mások minden bizonnyal követni fogják öltöny.

Fontos a tudatosság, hogy a moduláris malware hogyan érkezik a rendszerére. A többség fertőzött e-mail mellékleteket használ, általában egy rosszindulatú VBA szkripttel rendelkező Microsoft Office dokumentumot tartalmaz. A támadók ezt a módszert használják, mert a fertőzött e-maileket egyszerűen el lehet küldeni potenciális célpontok millióinak. Ezenkívül a kezdeti kihasználás apró, és könnyen elrejthető Office-fájlként.

Mint mindig, ügyeljen arra, hogy rendszere naprakész legyen, és fontolja meg a Malwarebytes Premiumba történő befektetést - megéri 5 ok a Malwarebytes Premium verzióra való frissítésre: Igen, megériNoha a Malwarebytes ingyenes verziója fantasztikus, a prémium verziónak sok-sok hasznos és érdemes funkciója van. Olvass tovább !