AllaKore RAT

Μια εκστρατεία spear-phishing στοχεύει μεξικανικά χρηματοπιστωτικά ιδρύματα, χρησιμοποιώντας μια τροποποιημένη παραλλαγή του AllaKore RAT, ενός ανοιχτού κώδικα Remote Access Trojan. Η εκστρατεία συνδέεται με έναν άγνωστο παράγοντα απειλής με οικονομικά κίνητρα με έδρα τη Λατινική Αμερική. Αυτή η απειλητική δραστηριότητα βρίσκεται σε εξέλιξη τουλάχιστον από το 2021. Οι τακτικές phishing περιλαμβάνουν τη χρήση συμβάσεων ονομασίας που σχετίζονται με το Μεξικανικό Ινστιτούτο Κοινωνικής Ασφάλισης (IMSS) και την παροχή συνδέσμων σε φαινομενικά νόμιμα έγγραφα κατά τη φάση εγκατάστασης. Το ωφέλιμο φορτίο AllaKore RAT που χρησιμοποιείται στη λειτουργία επίθεσης έχει υποστεί σημαντικές τροποποιήσεις, επιτρέποντας στους παράγοντες απειλής να μεταδίδουν κλοπιμαία τραπεζικά διαπιστευτήρια και μοναδικές λεπτομέρειες ελέγχου ταυτότητας σε έναν διακομιστή Command-and-Control (C2), διευκολύνοντας την οικονομική απάτη.

Οι κυβερνοεγκληματίες στοχεύουν μεγάλες εταιρείες με το AllaKore RAT

Οι επιθέσεις φαίνεται να επικεντρώνονται ειδικά σε μεγάλες εταιρείες με ετήσια έσοδα που ξεπερνούν τα 100 εκατομμύρια δολάρια. Οι στοχευόμενες οντότητες καλύπτουν διάφορους τομείς, συμπεριλαμβανομένου του λιανικού εμπορίου, της γεωργίας, του δημόσιου τομέα, της μεταποίησης, των μεταφορών, των εμπορικών υπηρεσιών, των κεφαλαιουχικών αγαθών και των τραπεζών.

Η μόλυνση συμβαίνει με ένα αρχείο ZIP που διανέμεται μέσω phishing ή συμβιβασμού μέσω Drive-by. Αυτό το αρχείο ZIP περιέχει ένα πρόγραμμα εγκατάστασης MSI υπεύθυνο για την ανάπτυξη ενός προγράμματος λήψης .NET. Οι κύριες εργασίες του προγράμματος λήψης περιλαμβάνουν την επιβεβαίωση της γεωγραφικής θέσης του θύματος στο Μεξικό και την ανάκτηση του τροποποιημένου AllaKore RAT. Το AllaKore RAT, που αρχικά αναγνωρίστηκε το 2015 ως RAT με βάση τους Δελφούς, μπορεί να φαίνεται κάπως βασικό, αλλά διαθέτει ισχυρές δυνατότητες όπως καταγραφή πληκτρολογίου, λήψη οθόνης, αποστολή/λήψη αρχείων και ακόμη και απομακρυσμένο έλεγχο του επηρεαζόμενου συστήματος.

Το AllaKore RAT έχει εξοπλιστεί με πρόσθετα απειλητικά χαρακτηριστικά

Ο παράγοντας απειλών έχει βελτιώσει το κακόβουλο λογισμικό με νέες λειτουργίες που επικεντρώνονται κυρίως στην τραπεζική απάτη, στοχεύοντας συγκεκριμένα τράπεζες του Μεξικού και πλατφόρμες συναλλαγών κρυπτονομισμάτων. Οι πρόσθετες δυνατότητες περιλαμβάνουν τη δυνατότητα εκκίνησης εντολών για την εκκίνηση ενός αντίστροφου κελύφους, την εξαγωγή περιεχομένου από το πρόχειρο και την ανάκτηση, καθώς και την εκτέλεση πρόσθετων ωφέλιμων φορτίων.

Η σύνδεση του ηθοποιού απειλής με τη Λατινική Αμερική είναι εμφανής μέσω της χρήσης των IP του Mexico Starlink στην εκστρατεία. Επιπλέον, το τροποποιημένο ωφέλιμο φορτίο RAT περιλαμβάνει οδηγίες στην ισπανική γλώσσα. Συγκεκριμένα, τα θέλγητρα phishing είναι προσαρμοσμένα σε εταιρείες σημαντικού μεγέθους που αναφέρονται απευθείας στο τμήμα του Μεξικανικού Ινστιτούτου Κοινωνικής Ασφάλισης (IMSS).

Αυτός ο παράγοντας επίμονης απειλής κατευθύνει με συνέπεια τις προσπάθειές του προς μεξικανικές οντότητες με σκοπό την οικονομική εκμετάλλευση. Η επιβλαβής δραστηριότητα έχει διαρκέσει για περισσότερα από δύο χρόνια, χωρίς να υπάρχουν ενδείξεις διακοπής.

Οι απειλές RAT μπορεί να οδηγήσουν σε σοβαρές συνέπειες για τα θύματα

Τα Trojan Remote Access (RAT) ενέχουν σημαντικούς κινδύνους, καθώς παρέχουν μη εξουσιοδοτημένη πρόσβαση και έλεγχο στον υπολογιστή ή το δίκτυο του θύματος σε κακόβουλους παράγοντες. Ακολουθούν ορισμένοι βασικοί κίνδυνοι που σχετίζονται με τις απειλές RAT:

• Μη εξουσιοδοτημένη πρόσβαση και έλεγχος : Τα RAT επιτρέπουν στους εισβολείς να αποκτήσουν απομακρυσμένο έλεγχο ενός παραβιασμένου συστήματος. Αυτό το επίπεδο πρόσβασης τους επιτρέπει να εκτελούν εντολές, να χειρίζονται αρχεία, να εγκαθιστούν και να απεγκαταστήσουν λογισμικό και ουσιαστικά να ελέγχουν τον υπολογιστή του θύματος σαν να ήταν φυσικά παρόν.
• Κλοπή δεδομένων και κατασκοπεία : Οι RAT χρησιμοποιούνται συνήθως για τη συλλογή προσωπικών πληροφοριών, όπως διαπιστευτήρια σύνδεσης, οικονομικά δεδομένα, προσωπικές πληροφορίες και πνευματική ιδιοκτησία. Οι εισβολείς μπορούν να παρακολουθούν σιωπηλά τις δραστηριότητες των χρηστών, να καταγράφουν πατήματα πλήκτρων και να έχουν πρόσβαση σε αρχεία, οδηγώντας σε πιθανές παραβιάσεις δεδομένων και εταιρική κατασκοπεία.
• Παρακολούθηση και παραβίαση απορρήτου : Μόλις αναπτυχθεί ένας RAT, οι εισβολείς μπορούν να ενεργοποιήσουν την κάμερα web και το μικρόφωνο του θύματος χωρίς να το γνωρίζουν, οδηγώντας σε μη εξουσιοδοτημένη παρακολούθηση. Αυτή η παραβίαση του απορρήτου μπορεί να έχει σημαντικές συνέπειες για άτομα και οργανισμούς.
• Διάδοση και πλευρική κίνηση : Οι RAT έχουν συχνά την ικανότητα να αυτοαναπαράγονται και να εξαπλώνονται μέσα σε ένα δίκτυο, επιτρέποντας στους επιτιθέμενους να κινούνται πλευρικά μέσω της υποδομής ενός οργανισμού. Αυτό μπορεί να έχει ως αποτέλεσμα τον συμβιβασμό πολλαπλών συστημάτων και την κλιμάκωση της συνολικής απειλής για την ασφάλεια.
• Οικονομική Απώλεια και Απάτη : Οι RAT με δυνατότητες τραπεζικής απάτης μπορούν να στοχεύουν χρηματοπιστωτικά ιδρύματα και χρήστες, οδηγώντας σε μη εξουσιοδοτημένες συναλλαγές, κλοπή κεφαλαίων και άλλες οικονομικές απώλειες. Οι πλατφόρμες συναλλαγών κρυπτογράφησης είναι επίσης ευάλωτοι στόχοι για επιτιθέμενους που αναζητούν οικονομικά οφέλη.
• Διακοπή Υπηρεσιών : Οι επιτιθέμενοι ενδέχεται να χρησιμοποιήσουν RAT για να διακόψουν τις υπηρεσίες τροποποιώντας ή διαγράφοντας κρίσιμα αρχεία, αλλάζοντας τις διαμορφώσεις συστήματος ή εξαπολύοντας επιθέσεις άρνησης υπηρεσίας. Αυτό μπορεί να οδηγήσει σε διακοπές λειτουργίας, οικονομικές απώλειες και ζημιά στη φήμη ενός οργανισμού.
• Εμμονή και Δυσκολία Ανίχνευσης : Οι RAT έχουν σχεδιαστεί για να διατηρούν την επιμονή σε παραβιασμένα συστήματα, γεγονός που καθιστά δύσκολο τον εντοπισμό και την αφαίρεσή τους. Ενδέχεται να χρησιμοποιούν διάφορες τεχνικές αποφυγής για να παρακάμψουν τα μέτρα ασφαλείας, γεγονός που καθιστά δύσκολο για τις παραδοσιακές λύσεις προστασίας από ιούς τον εντοπισμό και τον μετριασμό της απειλής.
• Γεωπολιτική και εταιρική κατασκοπεία : Οι κρατικοί φορείς και οι εταιρικές ομάδες κατασκοπείας μπορούν να χρησιμοποιούν RAT για στρατηγικούς σκοπούς για να αποκτήσουν πρόσβαση σε ευαίσθητες πληροφορίες, πνευματική ιδιοκτησία ή διαβαθμισμένα δεδομένα. Αυτό μπορεί να έχει εκτεταμένα αποτελέσματα για την εθνική ασφάλεια και τους πληττόμενους οργανισμούς.

Για τον μετριασμό των κινδύνων που σχετίζονται με απειλές RAT, οι οργανισμοί και τα άτομα θα πρέπει να χρησιμοποιούν ισχυρά μέτρα κυβερνοασφάλειας, συμπεριλαμβανομένων τακτικών ελέγχων ασφάλειας, παρακολούθησης δικτύου, προστασίας τελικών σημείων και εκπαίδευσης ευαισθητοποίησης των χρηστών για την αναγνώριση και την αποφυγή επιθέσεων phishing.