Higaisa APT

Η Higaisa APT (Advanced Persistent Threat) είναι μια ομάδα hacking, η οποία πιθανότατα προέρχεται από την Κορεατική Χερσόνησο. Η ομάδα hacking Higaisa μελετήθηκε για πρώτη φορά εκτενώς το 2019. Ωστόσο, αναλυτές κακόβουλου λογισμικού πιστεύουν ότι το Higaisa APT ξεκίνησε να λειτουργεί για πρώτη φορά το 2016, αλλά κατάφερε να αποφύγει να προσελκύσει την προσοχή ειδικών στον τομέα της κυβερνοασφάλειας μέχρι το 2019. Το Higaisa APT φαίνεται να χρησιμοποιεί και τα δύο εξατομικευμένα εργαλεία hacking, καθώς και δημοφιλείς απειλές που διατίθενται στο κοινό, όπως το PlugX RAT (Remote Access Trojan) και το Gh0st RAT .

Η ομάδα hacking Higaisa τείνει να βασίζεται κυρίως σε καμπάνιες ηλεκτρονικού ταχυδρομείου spear-phishing για τη διανομή κακόβουλου λογισμικού. Σύμφωνα με ερευνητές ασφαλείας, σε μία από τις τελευταίες λειτουργίες του Higaisa APT, ο φορέας μόλυνσης που χρησιμοποιήθηκε ήταν κακόβουλα αρχεία .LNK. Τα αρχεία .LNK από την τελευταία τους καμπάνια καλύφθηκαν ως αβλαβή αρχεία, όπως αποτελέσματα εξετάσεων, βιογραφικά, προσφορές εργασίας κ.λπ. Νωρίτερα φέτος, η ομάδα εισβολής Higaisa χρησιμοποίησε μηνύματα ηλεκτρονικού ταχυδρομείου με θέμα τον COVID-19 για να διαδώσει κατεστραμμένα αρχεία .LNK στους στόχους της.

Εάν ο χρήστης εξαπατηθεί από το Higaisa APT και ανοίξει το κατεστραμμένο αρχείο, ενδέχεται να μην παρατηρήσει τίποτα ασυνήθιστο. Αυτό συμβαίνει επειδή αυτή η ομάδα hacking χρησιμοποιεί αρχεία δόλωμα που θα κρατήσουν την προσοχή του χρήστη και θα τον εμποδίσουν να παρατηρήσει ότι το σύστημά του έχει παραβιαστεί. Το κακόβουλο αρχείο .LNK έχει μια λίστα εντολών, τις οποίες θα εκτελεί σιωπηλά στο παρασκήνιο. Η λίστα εντολών θα επιτρέψει στην απειλή να:

• Εγκαταστήστε τα αρχεία του στον κατάλογο %APPDATA% στον παραβιασμένο κεντρικό υπολογιστή.
• Αποκρυπτογραφήστε και αποσυμπιέστε τα δεδομένα από το αρχείο LNK.
• Εγκαταστήστε ένα αρχείο JavaScript στο φάκελο «Λήψεις» του μολυσμένου συστήματος και, στη συνέχεια, εκτελέστε το.

Στη συνέχεια, το αρχείο JavaScript θα βεβαιωθεί ότι εκτελεί ένα σύνολο εντολών, οι οποίες θα επιτρέψουν στους εισβολείς να αποκτήσουν δεδομένα σχετικά με τον μολυσμένο κεντρικό υπολογιστή και τις ρυθμίσεις δικτύου του. Στη συνέχεια, θα εκτελεστεί ένα από τα αρχεία που αποσυσκευάστηκαν από το κακόβουλο αρχείο .LNK. Το εν λόγω αρχείο JavaScript θα διασφαλίσει επίσης ότι η απειλή κερδίζει επιμονή στον κεντρικό υπολογιστή, έτσι ώστε να εκτελείται κατά την επανεκκίνηση.

Για να προστατεύσετε το σύστημά σας από επιθέσεις στον κυβερνοχώρο, συνιστάται να επενδύσετε σε μια αξιόπιστη, σύγχρονη εφαρμογή προστασίας από ιούς.