Higaisa APT
Higaisa APT (Advanced Persistent Threat) е хакерска група, която вероятно произхожда от Корейския полуостров. Хакерската група Higaisa беше проучена за първи път обстойно през 2019 г. Анализаторите на зловреден софтуер обаче смятат, че Higaisa APT за първи път започна да работи през 2016 г., но успя да избегне привличането на вниманието на експерти в областта на киберсигурността до 2019 г. Higaisa APT изглежда използва и двете персонализирани инструменти за хакерство, както и популярни публично достъпни заплахи като PlugX RAT (троянски кон за отдалечен достъп) и Gh0st RAT .
Хакерската група Higaisa е склонна да разчита главно на имейл кампании за фишинг, за да разпространява злонамерен софтуер. Според изследователи по сигурността, при една от последните операции на Higaisa APT, използваният вектор на инфекция е бил злонамерени .LNK файлове. Файловете .LNK от последната им кампания бяха маскирани като безобидни файлове като резултати от изпити, автобиографии, предложения за работа и т.н. По-рано тази година хакерската група Higaisa използва имейли с тема COVID-19, за да разпространява повредени .LNK файлове до своите цели.
Ако потребителят бъде подведен от Higaisa APT и отвори повредения файл, той може да не забележи нищо необичайно. Това е така, защото тази хакерска група използва файлове за примамка, които ще задържат вниманието на потребителя и ще им попречат да забележат, че тяхната система е била нарушена. Злонамереният .LNK файл има списък с команди, които ще изпълнява безшумно във фонов режим. Списъкът с команди ще позволи на заплахата да:
- Засадете неговите файлове в директорията %APPDATA% на компрометирания хост.
- Декриптирайте и декомпресирайте данните от LNK файла.
- Поставете JavaScript файл в папката „Изтегляния“ на заразената система и след това го изпълнете.
След това JavaScript файлът ще се увери, че изпълнява набор от команди, които ще позволят на нападателите да получат данни относно заразения хост и неговите мрежови настройки. След това ще се изпълни един от файловете, които са били разопаковани от злонамерения .LNK файл. Въпросният JavaScript файл също така ще гарантира, че заплахата придобива устойчивост на хоста, така че да бъде изпълнена при рестартиране.
За да защитите вашата система от кибератаки, препоръчително е да инвестирате в реномирано, модерно антивирусно приложение.
