AllaKore RAT

Kampanja spear-phishing cilja na meksičke financijske institucije, koristeći modificiranu varijantu AllaKore RAT-a, trojanca otvorenog koda za udaljeni pristup. Kampanja je povezana s neidentificiranim financijski motiviranim akterom prijetnje sa sjedištem u Latinskoj Americi. Ova prijeteća aktivnost traje najmanje od 2021. Taktika krađe identiteta uključuje korištenje konvencija imenovanja povezanih s Meksičkim institutom za socijalno osiguranje (IMSS) i pružanje poveznica na naizgled legitimne dokumente tijekom faze instalacije. Korisni teret AllaKore RAT korišten u operaciji napada je prošao kroz značajne izmjene, omogućujući akterima prijetnji da prenesu ukradene bankovne vjerodajnice i jedinstvene detalje autentifikacije na Command-and-Control (C2) poslužitelj, olakšavajući financijsku prijevaru.

Cyberkriminalci gađaju velike korporacije pomoću AllaKore RAT-a

Čini se da su napadi posebno usmjereni na velike korporacije s godišnjim prihodima većim od 100 milijuna dolara. Ciljani subjekti obuhvaćaju različite sektore, uključujući maloprodaju, poljoprivredu, javni sektor, proizvodnju, prijevoz, komercijalne usluge, kapitalna dobra i bankarstvo.

Do zaraze dolazi ZIP datotekom koja se distribuira phishingom ili diskovnim kompromisom. Ova ZIP datoteka sadrži MSI instalacijski program odgovoran za implementaciju .NET preuzimača. Primarni zadaci preuzimatelja uključuju potvrdu meksičke geolokacije žrtve i dohvaćanje modificiranog AllaKore RAT-a. AllaKore RAT, prvobitno identificiran 2015. kao RAT temeljen na Delphiju, može se činiti donekle osnovnim, ali posjeduje snažne mogućnosti kao što su keylogging, snimanje zaslona, učitavanje/preuzimanje datoteka, pa čak i daljinsko upravljanje zahvaćenim sustavom.

AllaKore RAT je opremljen dodatnim prijetećim značajkama

Glumac prijetnje poboljšao je zlonamjerni softver novim funkcionalnostima prvenstveno usmjerenim na bankovne prijevare, posebno ciljajući na meksičke banke i platforme za kripto trgovanje. Dodane značajke uključuju mogućnost pokretanja naredbi za pokretanje obrnute ljuske, izdvajanje sadržaja međuspremnika i dohvaćanje, kao i izvršavanje dodatnih korisnih opterećenja.

Veza aktera prijetnje s Latinskom Amerikom očita je kroz korištenje meksičkih Starlink IP adresa u kampanji. Osim toga, modificirani RAT korisni teret uključuje upute na španjolskom jeziku. Naime, mamci za krađu identiteta prilagođeni su tvrtkama značajne veličine koje su izravno odgovorne odjelu Meksičkog instituta za socijalno osiguranje (IMSS).

Ovaj uporni akter prijetnje dosljedno usmjerava svoje napore prema meksičkim entitetima s namjerom financijskog iskorištavanja. Štetna aktivnost traje više od dvije godine, ne pokazujući naznake prestanka.

Prijetnje ŠTAKORIMA mogu dovesti do ozbiljnih posljedica za žrtve

Trojanci s daljinskim pristupom (RAT) predstavljaju značajnu opasnost jer zlonamjernim akterima omogućuju neovlašteni pristup i kontrolu nad žrtvinim računalom ili mrežom. Evo nekih ključnih opasnosti povezanih s RAT prijetnjama:

• Neovlašteni pristup i kontrola : RAT-ovi omogućuju napadačima da dobiju daljinsku kontrolu nad kompromitiranim sustavom. Ova razina pristupa omogućuje im izvršavanje naredbi, manipuliranje datotekama, instaliranje i deinstaliranje softvera i u biti kontrolu nad žrtvinim računalom kao da su fizički prisutni.
• Krađa podataka i špijunaža : RAT-ovi se obično koriste za prikupljanje privatnih informacija, kao što su vjerodajnice za prijavu, financijski podaci, osobni podaci i intelektualno vlasništvo. Napadači mogu tiho nadzirati aktivnosti korisnika, hvatati pritiske tipki i pristupati datotekama, što dovodi do potencijalnih povreda podataka i korporativne špijunaže.
• Nadzor i narušavanje privatnosti : Nakon što se RAT postavi, napadači mogu aktivirati žrtvinu web kameru i mikrofon bez njihovog znanja, što dovodi do neovlaštenog nadzora. Ova povreda privatnosti može imati značajne posljedice za pojedince i organizacije.
• Širenje i bočno kretanje : RAT-ovi često imaju sposobnost samorepliciranja i širenja unutar mreže, dopuštajući napadačima bočno kretanje kroz infrastrukturu organizacije. To može dovesti do ugrožavanja više sustava i eskalacije ukupne sigurnosne prijetnje.
• Financijski gubici i prijevare : RAT-ovi s mogućnostima bankovne prijevare mogu ciljati financijske institucije i korisnike, što dovodi do neovlaštenih transakcija, krađe sredstava i drugih financijskih gubitaka. Platforme za kripto trgovanje također su ranjive mete za napadače koji traže financijsku dobit.
• Prekid usluga : Napadači mogu koristiti RAT-ove za prekid usluga modificiranjem ili brisanjem kritičnih datoteka, mijenjanjem konfiguracije sustava ili pokretanjem napada uskraćivanjem usluge. To može dovesti do prekida rada, financijskih gubitaka i štete ugledu organizacije.
• Postojanost i poteškoće u otkrivanju : RAT-ovi su dizajnirani za održavanje postojanosti na ugroženim sustavima, što ih čini izazovnim za otkrivanje i uklanjanje. Mogu koristiti različite tehnike izbjegavanja kako bi zaobišli sigurnosne mjere, što tradicionalnim antivirusnim rješenjima otežava prepoznavanje i ublažavanje prijetnje.
• Geopolitička i korporativna špijunaža : akteri koje sponzorira država i korporativne špijunažne skupine mogu koristiti RAT-ove u strateške svrhe za dobivanje pristupa osjetljivim informacijama, intelektualnom vlasništvu ili povjerljivim podacima. To može imati dalekosežne rezultate za nacionalnu sigurnost i pogođene organizacije.

Kako bi ublažili rizike povezane s RAT prijetnjama, organizacije i pojedinci trebaju primijeniti snažne mjere kibernetičke sigurnosti, uključujući redovite sigurnosne revizije, nadzor mreže, zaštitu krajnjih točaka i obuku korisnika za prepoznavanje i izbjegavanje phishing napada.