Κακόβουλο λογισμικό OXLOADER

Ερευνητές στον τομέα της κυβερνοασφάλειας αποκάλυψαν μια νέα καμπάνια κακόβουλου λογισμικού, με την ονομασία REF8372, η οποία χρησιμοποιεί ένα προηγουμένως μη καταγεγραμμένο πρόγραμμα φόρτωσης κακόβουλου λογισμικού γνωστό ως OXLOADER, για την ανάπτυξη του κακόβουλου λογισμικού κλοπής πληροφοριών CastleStealer.

Η επιχείρηση ξεκινά με κακόβουλες διαφημίσεις της Google που έχουν σχεδιαστεί για να προσελκύσουν θύματα που αναζητούν δημοφιλές λογισμικό. Η ανάλυση υποδηλώνει ότι οι απειλητικοί παράγοντες πίσω από την εκστρατεία είναι πιθανότατα ρωσόφωνοι και έχουν οικονομικά κίνητρα. Αυτή η αξιολόγηση βασίζεται στον σκόπιμο αποκλεισμό από το κακόβουλο λογισμικό συστημάτων που βρίσκονται εντός της Κοινοπολιτείας Ανεξάρτητων Κρατών (ΚΑΚ), μια τακτική που χρησιμοποιείται συχνά από κυβερνοεγκληματικές ομάδες που δραστηριοποιούνται στην περιοχή.

Παρόλο που οι διαφημίσεις της καμπάνιας δημοσιεύθηκαν με το επαληθευμένο όνομα «ВОЛОДИМИР ТЕРЕЩЕНКО», το οποίο φέρεται να εδρεύει στην Ουκρανία, παραμένει ασαφές εάν αυτή η ταυτότητα ανήκει στους ίδιους τους φορείς εκμετάλλευσης ή αντιπροσωπεύει έναν παραβιασμένο, αγορασμένο ή κατασκευασμένο λογαριασμό. Η Google αφαίρεσε τον λογαριασμό του διαφημιζόμενου και τις σχετικές καμπάνιες στις 14 Μαΐου 2026.

Η χειραγώγηση των μηχανών αναζήτησης οδηγεί τα θύματα σε ψεύτικους ιστότοπους λογισμικού

Η αλυσίδα μόλυνσης ενεργοποιείται όταν οι χρήστες αναζητούν όρους όπως «έκδοση lts του node.js» μέσω μηχανών αναζήτησης όπως η Google. Τα θύματα ανακατευθύνονται μέσω χορηγούμενων αποτελεσμάτων σε έναν πλαστό ιστότοπο, node-js.prentiva99.info, ο οποίος μεταμφιέζεται σε νόμιμο πόρο λογισμικού.

Οι χρήστες που αλληλεπιδρούν με τον δόλιο ιστότοπο καλούνται να κατεβάσουν ένα δέσμη ενεργειών (batch script) που φιλοξενείται στο Storj, μια αποκεντρωμένη πλατφόρμα αποθήκευσης cloud ανοιχτού κώδικα. Η κατάχρηση νόμιμων υπηρεσιών όπως το Storj υπογραμμίζει μια αυξανόμενη τάση μεταξύ των απειλητικών φορέων, οι οποίοι βασίζονται ολοένα και περισσότερο σε αξιόπιστες πλατφόρμες για να παρακάμψουν τους μηχανισμούς φιλτραρίσματος της φήμης του τομέα και της ασφάλειας.

Η αλυσίδα μόλυνσης πολλαπλών σταδίων κρύβει κακόβουλη δραστηριότητα

Η εκτέλεση του ληφθέντος αρχείου δέσμης εμφανίζει έναν ψεύτικο οδηγό εγκατάστασης, δημιουργώντας την ψευδαίσθηση μιας νόμιμης εγκατάστασης λογισμικού, ενώ παράλληλα κατεβάζει κρυφά το φορτίο επόμενου σταδίου, OXLOADER, από το Storj. Το κακόβουλο λογισμικό ανακτάται μέσω μιας εντολής PowerShell και εκκινείται με την παράμετρο -Verb RunAs, δημιουργώντας μια προτροπή Ελέγχου Λογαριασμού Χρήστη (UAC) των Windows.

Η επίθεση στη συνέχεια χρησιμοποιεί τεχνικές πλευρικής φόρτωσης DLL για να εκτελέσει μια κακόβουλη βιβλιοθήκη δυναμικών συνδέσμων, η οποία αποκρυπτογραφεί και εκκινεί το τελικό ωφέλιμο φορτίο, το CastleStealer.

Οι προηγμένες τεχνικές αποφυγής αυξάνουν τις προκλήσεις ανίχνευσης

Το OXLOADER ενσωματώνει αρκετές εξελιγμένες τεχνικές ειδικά σχεδιασμένες για να εμποδίζουν την ανάλυση και να αποφεύγουν την ανίχνευση:

• Πολλαπλά επίπεδα συσκότισης, συμπεριλαμβανομένης της ισοπέδωσης ροής ελέγχου, των αδιαφανών κατηγορημάτων και των μικτών τεχνικών Boolean-Arithmetic.

Αυτές οι δυνατότητες καταδεικνύουν μια σκόπιμη και καλά σχεδιασμένη προσέγγιση για την αποφυγή τόσο των στατικών όσο και των δυναμικών μηχανισμών ανίχνευσης.

Η αυξανόμενη παρουσία του CastleStealer σε επιχειρήσεις κυβερνοεγκλήματος

Το CastleStealer είναι μια οικογένεια κακόβουλου λογισμικού που βασίζεται σε .NET και κλέβει πληροφορίες, η οποία έχει εμφανιστεί πρόσφατα σε πρόσθετες καμπάνιες. Προηγουμένως διανεμήθηκε μαζί με το CastleLoader μέσω ενός δολώματος κοινωνικής μηχανικής τύπου ClickFix που παρίστανε μια δωρεάν εφαρμογή επεξεργασίας εικόνων σε μια λειτουργία γνωστή ως BackgroundFix. Το CastleLoader έχει συνδεθεί με το σύμπλεγμα απειλών που παρακολουθείται ως GrayBravo.

Απειλή σε πρώιμο στάδιο με σημαντικό δυναμικό

Παρόλο που το OXLOADER φαίνεται να βρίσκεται στα αρχικά στάδια της επιχειρησιακής του ανάπτυξης, η τεχνική του πολυπλοκότητα απαιτεί ιδιαίτερη προσοχή από τους υπερασπιστές. Αρκετά χαρακτηριστικά υποδηλώνουν σημαντική επένδυση από τους προγραμματιστές του:

• Εκτεταμένη προστασία από συσκότιση κώδικα και προστασία από εικονικές μηχανές.
• Χρήση κώδικα με καλοήθη εμφάνιση για την απόκρυψη κακόβουλων δυαδικών αρχείων και μοναδικών τεχνικών σταδιοποίησης ωφέλιμου φορτίου.

Αυτές οι επιλογές σχεδιασμού έχουν ήδη αποδειχθεί αποτελεσματικές, επιτρέποντας στο OXLOADER να επιτυγχάνει χαμηλά ποσοστά ανίχνευσης σε μηχανές στατικής σάρωσης και αυτοματοποιημένα περιβάλλοντα πυροδότησης. Ως αποτέλεσμα, το κακόβουλο λογισμικό επωφελείται επί του παρόντος από ένα πολύτιμο λειτουργικό παράθυρο πριν από την ανάπτυξη εκτεταμένων υπογραφών ανίχνευσης και αντιμέτρων.