PEAKLIGHT Downloader

Výzkumníci v oblasti kybernetické bezpečnosti objevili nový kapátko navržený k nasazení následných fází malwaru, které se nakonec zaměří na systémy Windows pomocí kradačů informací a zavaděčů.

Tento kapátko pouze pro paměť dešifruje a spouští stahovací program založený na prostředí PowerShell, označený jako PEAKLIGHT. Mezi kmeny malwaru distribuované touto metodou patří Lumma Stealer , Hijack Loader (také známý jako DOILoader, IDAT Loader nebo SHADOWLADDER) a CryptBot , které jsou všechny nabízeny jako součást modelu malware-as-a-service (MaaS).

Vektor počátečního útoku a řetězec útoku

Řetězec útoků začíná souborem zástupce systému Windows (LNK), který se stahuje pomocí metod stahování, například když uživatelé hledají filmy online. Tyto soubory LNK jsou zabaleny v archivech ZIP maskovaných jako pirátské filmy.

Po stažení se soubor LNK připojí k síti pro doručování obsahu (CDN), která hostí zmatený, pouze paměťový JavaScript dropper. Tento dropper pak spustí skript pro stahování PEAKLIGHT PowerShell na počítači oběti, který zase kontaktuje server Command-and-Control (C2), aby načetl další užitečné zatížení.

Výzkumníci pozorovali různé variace souborů LNK, přičemž někteří používali hvězdičky (*) jako zástupné znaky k vyvolání legitimního binárního souboru mshta.exe, což umožnilo, aby byl škodlivý kód (tj. dropper) diskrétně spuštěn ze vzdáleného serveru.

PEAKLIGHT skrývá svou hrozivou akci za legitimními filmy

Podobně bylo zjištěno, že kapátka obsahují užitečné zatížení PowerShellu v hex kódovaném i v Base64 kódování. Tyto užitečné zatížení se rozbalí, aby bylo možné spustit nástroj PEAKLIGHT, který je navržen k nasazení následného malwaru na infikovaný systém a zároveň ke stažení legitimního filmového traileru, pravděpodobně jako návnady.

PEAKLIGHT funguje jako zmatený downloader založený na PowerShellu v rámci vícefázového spouštěcího řetězce. Vyhledává archivy ZIP ve specifických pevně zakódovaných cestách k souborům. Pokud tyto archivy nejsou nalezeny, stahovací program kontaktuje web CDN, aby stáhl soubor archivu a uložil jej na disk.

Toto není první případ malwaru zaměřeného na uživatele hledající pirátské filmy. Začátkem června 2024 výzkumníci odhalili sofistikovaný infekční řetězec, který vyústil v nasazení Hijack Loader po pokusu stáhnout video soubor ze stránky pro stahování filmů.

Stahovači otevírají dveře specializovanějšímu malwaru

Malware pro stahování představuje několik významných nebezpečí pro jednotlivce i organizace:

• Počáteční kompromis : Downloader malware je často první fází většího útoku. Po instalaci může tiše stahovat a instalovat další škodlivé datové části, včetně pokročilejšího malwaru.
• Krádež dat : Dodatečné užitečné zatížení dodávané malwarem pro stahování může zahrnovat krádeže informací, které zachycují soukromá data, jako jsou přihlašovací údaje, finanční informace a osobní údaje, což vede ke krádeži identity a finanční ztrátě.
• Únos systému : Některý malware pro stahování je navržen tak, aby nasazoval nástroje pro vzdálený přístup nebo zadní vrátka, což útočníkům umožňuje získat kontrolu nad infikovaným systémem. To může vést k neoprávněnému přístupu do podnikových sítí, narušení dat a dalšímu narušení systému.
• Nasazení ransomwaru : Malware pro stahování lze použít k instalaci ransomwaru, který dokáže zašifrovat soubory oběti a za jejich vydání požadovat výkupné. To může mít za následek významnou ztrátu dat a narušení provozu.
• Zvýšená zranitelnost : Po instalaci může malware pro stahování oslabit obranu systému a vytvořit zranitelnosti, které mohou zneužít jiné typy malwaru. To útočníkům usnadňuje nasazení nebezpečnějších nebo trvalejších hrozeb.
• Šíření sítě : Malware pro stahování se může šířit po sítích a infikovat další zařízení a systémy ve stejném prostředí. To může způsobit rozsáhlé škody a zvýšit složitost úsilí o nápravu.
• Vyčerpávání zdrojů : Malware může spotřebovávat systémové zdroje, jako je CPU a šířka pásma, což vede ke snížení výkonu a potenciálním výpadkům služeb. To může ovlivnit produktivitu a zvýšit provozní náklady.
• Právní rizika a rizika související s dodržováním předpisů : Infikované organizace mohou čelit právním problémům a problémům s dodržováním předpisů, zejména pokud se porušení dat týká citlivých nebo regulovaných informací. To může mít za následek pokuty, právní kroky a poškození dobrého jména.

Celkově je malware pro stahování vážnou hrozbou kvůli své úloze při usnadňování dalších útoků a ovlivňujících bezpečnost a integritu postižených systémů a sítí.