Bumblebee Malware

Jako součást nejméně tří samostatných ohrožujících operací byl identifikován nový sofistikovaný zaváděcí malware. Hrozba s názvem Bumblebee malware je nasazena jako malware v počáteční fázi, který má za úkol doručovat a spouštět užitečné zatížení v další fázi. Pravděpodobným cílem útočníků je nasazení konečného ransomwaru na napadené zařízení a vydírání postižených obětí o peníze.

Podrobnosti o hrozbě odhalila veřejnost ve zprávě společnosti Proofpoint. Podle výzkumníků mohl malware Bumblebee zaplnit prázdnotu po dříve identifikované hrozbě zavaděče známé jako BazaLoader. Předpokládá se, že skupiny, které využívají malware Bumblebee, jednají jako zprostředkovatelé počátečního přístupu (IAB). Takové organizace zabývající se kyberzločinem se zaměřují na infiltraci podnikových cílů a poté prodávají zavedený zadní vrátka dalším kyberzločincům na temném webu.

Ohrožující schopnosti

Bumblebee demonstruje rozsáhlou škálu propracovaných únikových technik, i když je hrozba stále považována za aktivní. Malware kontroluje prostředí sandbox nebo známky virtualizace. Šifruje také svou komunikaci s infrastrukturou Command-and-Control (C2, C&C) útočných operací. Bumblebee také skenuje běžící procesy na napadeném zařízení a hledá běžné nástroje pro analýzu malwaru převzaté z pevně zakódovaného seznamu.

Další charakteristickou vlastností hrozby je to, že nepoužívá stejné techniky prohlubování procesů nebo vkládání DLL, které jsou často pozorovány u podobných hrozeb. Místo toho Bumblebee využívá injekci APC (asynchronous procedure call), která mu umožňuje iniciovat shell kód z příchozích příkazů odeslaných jeho C2 serverem. Mezi první akce provedené hrozbou po nasazení na cílové počítače patří shromažďování systémových informací a generování 'ID klienta'.

Poté se Bumblebee pokusí navázat kontakt se servery C2 přístupem na přidruženou adresu uloženou v prostém textu. Verze hrozby analyzované výzkumníky dokázaly rozpoznat několik příkazů, včetně vložení kódu shellu, vložení DLL, spuštění mechanismu perzistence, načtení spustitelných souborů další fáze a možnost odinstalovat.