LilithBot
Το LilithBot είναι μια νέα απειλή κακόβουλου λογισμικού με ένα εκτεταμένο σύνολο απειλητικών χαρακτηριστικών που προσφέρεται σε ένα σύστημα MaaS (Malware-as-a-Service). Η απειλή είναι μέρος των εργαλείων χάκερ που προσφέρονται από μια ομάδα απειλών που παρακολουθείται ως Eternity (EternityTeam, Eternity Project). Οι κυβερνοεγκληματίες δραστηριοποιούνται τουλάχιστον από τον Ιανουάριο του 2022 και έχουν συνδεθεί με τη ρωσική «Ομάδα Jester». Λεπτομέρειες για το LilithBot και τους προγραμματιστές του αποκαλύφθηκαν στο κοινό σε μια έκθεση ερευνητών στον τομέα της κυβερνοασφάλειας.
Σύμφωνα με τα ευρήματά τους, το LilithBot προσφέρεται σε πιθανούς πελάτες εγκληματιών στον κυβερνοχώρο μέσω μιας αποκλειστικής ομάδας Telegram και μπορεί να αγοραστεί ακολουθώντας έναν σύνδεσμο που οδηγεί σε έναν ιστότοπο που φιλοξενείται στο δίκτυο Tor. Ο ιστότοπος λειτουργεί ως αρχική σελίδα για τα προϊόντα των χάκερ Eternity, με το πιο ακριβό εργαλείο να είναι μια απειλή ransomware.
Όταν πρόκειται για το LilithBot, η απειλή είναι ένα εξελιγμένο κακόβουλο λογισμικό που συνδυάζει τη λειτουργικότητα ενός botnet με αυτή ενός crypto-miner, clipper και stealer. Οι ερευνητές της Infosec σημειώνουν ότι το LilithBot έχει περάσει από πολλές επαναλήψεις κατά τη διαδικασία ανάπτυξής του, με τις εντολές που υπάρχουν σε προηγούμενες εκδόσεις να αφαιρούνται σε μεταγενέστερες εκδόσεις. Ωστόσο, οι ερευνητές προειδοποιούν ότι οι παράγοντες απειλής μπορεί να εξακολουθούν να εκτελούν τις λειτουργίες που αφαιρέθηκαν, αλλά με πιο κρυφό τρόπο.
Όταν ενεργοποιηθεί στο μολυσμένο σύστημα, η απειλή θα εγγραφεί πρώτα ως bot. Στη συνέχεια, το LilithBot θα αποκρυπτογραφήσει τον εαυτό του για να ρίξει το αρχείο διαμόρφωσής του στη συσκευή. Το κακόβουλο λογισμικό χρησιμοποιεί τον δικό του μηχανισμό αποκρυπτογράφησης σε μια προσπάθεια να αποτρέψει την χειροκίνητη αποκρυπτογράφηση. Το στοιχείο κλοπής της απειλής συλλέγει πληροφορίες που περιλαμβάνουν ιστορικό προγράμματος περιήγησης, cookies και προσωπικά δεδομένα, όπως εικόνες. Τα ληφθέντα αρχεία προστίθενται σε ένα αρχείο ZIP πριν σταλούν στον διακομιστή Command-and-Control (C2, C&C) της λειτουργίας.
Το LilithBot χρησιμοποιεί πλαστά πιστοποιητικά για να αυξήσει τις πιθανότητές του να παραμείνει μη εντοπισμένος. Ωστόσο, τα πιστοποιητικά που προσδιορίζονται φαίνεται να εκδίδονται από το «Microsoft Code Signing PCA 2011», αλλά δεν διαθέτουν την κατάλληλη επαλήθευση και υπογραφή.
