IceBreaker Malware
Μια απειλητική εκστρατεία επίθεσης, που ονομάζεται IceBreaker, στοχεύει τους τομείς των τυχερών παιχνιδιών και των τυχερών παιχνιδιών και είναι ενεργή τουλάχιστον από τον Σεπτέμβριο του 2022. Η επίθεση χρησιμοποιεί έξυπνες τακτικές κοινωνικής μηχανικής για να αναπτύξει μια κερκόπορτα JavaScript. Λεπτομέρειες σχετικά με την εκστρατεία επίθεσης και το αναπτυγμένο IceBreaker Backdoor κυκλοφόρησαν για πρώτη φορά από τους ερευνητές ασφαλείας στην ισραηλινή εταιρεία κυβερνοασφάλειας Security Joes.
Οι επιτιθέμενοι πίσω από το IceBreaker βασίζονται στην Κοινωνική Μηχανική
Οι ηθοποιοί απειλών ξεκινούν την αλυσίδα επιθέσεων τους παρουσιάζοντας ως πελάτης και ξεκινώντας συνομιλίες με αντιπροσώπους υποστήριξης για εταιρείες τυχερών παιχνιδιών. Οι ηθοποιοί ισχυρίζονται ότι έχουν προβλήματα εγγραφής λογαριασμού και στη συνέχεια ενθαρρύνουν τον πράκτορα να ανοίξει μια εικόνα στιγμιότυπου οθόνης που φιλοξενείται στο Dropbox. Οι κυβερνοεγκληματίες εκμεταλλεύονται το γεγονός ότι η επιλεγμένη υπηρεσία εξυπηρέτησης πελατών λειτουργεί από τον άνθρωπο.
Κάνοντας κλικ στον σύνδεσμο του υποτιθέμενου στιγμιότυπου οθόνης που αποστέλλεται στη συνομιλία οδηγεί είτε σε ένα ωφέλιμο φορτίο LNK είτε σε ένα αρχείο VBScript. Το ωφέλιμο φορτίο LNK έχει ρυθμιστεί ώστε να ανακτά και να εκτελεί ένα πακέτο MSI που φέρει ένα εμφύτευμα Node.js στον υπολογιστή του θύματος.
Οι Απειλητικές Δυνατότητες του Κακόβουλου Λογισμικού IceBreaker
Το κατεστραμμένο αρχείο JavaScript μπορεί να χρησιμοποιηθεί από τους φορείς απειλών για να αποκτήσουν πρόσβαση στον υπολογιστή του θύματος. Έχει όλες τις δυνατότητες που παρατηρούνται συνήθως σε απειλές κερκόπορτας - τη δυνατότητα απαρίθμησης εκτελούμενων διεργασιών, κωδικών πρόσβασης και cookie συλλογών, διείσδυσης αυθαίρετων αρχείων, λήψης στιγμιότυπων οθόνης, εκτέλεσης VBScript που εισάγεται από απομακρυσμένο διακομιστή και ακόμη και ανοίγματος ενός αντίστροφου διακομιστή μεσολάβησης στον παραβιασμένο κεντρικό υπολογιστή. Εάν το πρόγραμμα λήψης VBS εκτελεστεί από το θύμα αντ 'αυτού, θα αναπτύξει ένα διαφορετικό ωφέλιμο φορτίο με το όνομα Houdini - έναν Trojan απομακρυσμένης πρόσβασης που βασίζεται σε VBS (RAT) που υπάρχει από το 2013. Αυτό το κακόβουλο λογισμικό μπορεί να χρησιμοποιηθεί για να αποκτήσει μη εξουσιοδοτημένη πρόσβαση στο σύστημα του θύματος και ενδεχομένως να προκαλέσουν ζημιά ή να συλλέξουν ευαίσθητες πληροφορίες.
