Κακόβουλο λογισμικό Verblecon
Λεπτομέρειες σχετικά με ένα νέο ισχυρό κακόβουλο λογισμικό με το όνομα Verblecon ήρθαν στο φως. Το απειλητικό στέλεχος εντοπίστηκε για πρώτη φορά από ερευνητές τον Ιανουάριο του 2022. Σύμφωνα με τα ευρήματά τους, ο παράγοντας απειλής που χρησιμοποιεί επί του παρόντος το κακόβουλο λογισμικό Verblecon ως μέρος των επιθέσεων τους, χρησιμοποιεί μόνο ένα μικρό μέρος των δυνατοτήτων της απειλής. Πράγματι, παρά το γεγονός ότι είχε την ικανότητα να εκτελεί πολυάριθμες επεμβατικές ενέργειες στις συσκευές που είχαν παραβιαστεί, μέχρι στιγμής η Verblecon είχε υποβιβαστεί στο ρόλο του φορτωτή που παρέχει ωφέλιμα φορτία εξόρυξης κρυπτονομισμάτων.
Τεχνικές λεπτομέρειες
Το κακόβουλο λογισμικό Verblecon βασίζεται σε Java και έχει πολυμορφικό χαρακτήρα. Αυτό σημαίνει ότι ο κωδικός του ωφέλιμου φορτίου της απειλής φαίνεται διαφορετικός κάθε φορά που γίνεται λήψη. Τέτοιες εξελιγμένες τεχνικές χρησιμοποιούνται συνήθως από φορείς απειλών που εμπλέκονται στην κυβερνοκατασκοπεία. Επιπλέον, η ροή κώδικα, οι συμβολοσειρές και τα σύμβολα της απειλής είναι όλα εντελώς ασαφή, καθιστώντας το Verbelcon εξαιρετικά κρυφό.
Η απειλή εκτελεί επίσης αρκετούς ελέγχους για περιβάλλοντα virtualization και sandbox. Φέρνει μια λίστα με τις τρέχουσες διεργασίες και ταιριάζει με μια προκαθορισμένη επιλογή αρχείων που είναι γνωστό ότι σχετίζονται με συστήματα εικονικών μηχανών. Εάν περάσουν όλοι οι έλεγχοι, η απειλή θα συνεχίσει με την εκτέλεσή της αντιγράφοντας τον εαυτό της σε έναν τοπικό κατάλογο όπως %ProgramData% , %LOCALAPPDATA% και Users .
Η Verblecon θα επιχειρεί να δημιουργεί περιοδικά επαφή με έναν διακομιστή Command-and-Control (C2) για να αποκτήσει και να αναπτύξει ένα νέο ωφέλιμο φορτίο. Το ωφέλιμο φορτίο είναι ασαφές χρησιμοποιώντας παρόμοιες τεχνικές και ελέγχει επίσης το περιβάλλον για σημάδια εικονικοποίησης. Σύμφωνα με τους ερευνητές, το κύριο καθήκον του ωφέλιμου φορτίου είναι να κατεβάσει και να εκτελέσει ένα δυαδικό αρχείο, το οποίο στη συνέχεια θα εγχυθεί στο %Windows%\SysWow64\dllhost.exe .
Όπως είπαμε, οι τρέχουσες λειτουργίες που αφορούν τη Verblecon δεν εκμεταλλεύονται τις πλήρεις δυνατότητες της απειλής και περιορίζονται στην παροχή κυρίως απειλών εξόρυξης κρυπτονομισμάτων. Υπάρχουν επίσης ενδείξεις ότι οι επιτιθέμενοι ενδιαφέρονται να αποκτήσουν τα διακριτικά Discord των θυμάτων.
