LilithBot
LilithBot הוא איום תוכנה זדונית חדש עם קבוצה נרחבת של תכונות מאיימות המוצעות בתכנית MaaS (Malware-as-a-Service). האיום הוא חלק מכלי ההאקרים המוצעים על ידי קבוצת איומים המלווה ב-Eternity (EternityTeam, Eternity Project). פושעי הסייבר פעילים לפחות מאז ינואר 2022 וקשרו ל"ג'סטר גרופ" הרוסית. פרטים על LilithBot והמפתחים שלה נחשפו לציבור בדו"ח של חוקרי אבטחת סייבר.
לפי הממצאים שלהם, LilithBot מוצע ללקוחות פושעי סייבר פוטנציאליים באמצעות קבוצת טלגרם ייעודית וניתן לרכוש אותה על ידי לחיצה על קישור המוביל לאתר המתארח ברשת Tor. האתר משמש כדף בית למוצרי האקרים של Eternity, כאשר הכלי היקר ביותר הוא איום של תוכנת כופר.
כשזה מגיע ל-LilitBot, האיום הוא תוכנה זדונית מתוחכמת המשלבת את הפונקציונליות של רשת בוט עם זו של כורה קריפטו, קוצץ וגנב. חוקרי Infosec מציינים כי LilithBot עברה מספר איטרציות במהלך תהליך הפיתוח שלו, כאשר פקודות הקיימות בגרסאות קודמות הוסרו במהדורות מאוחרות יותר. עם זאת, החוקרים מזהירים ששחקני האיום עדיין עשויים לבצע את הפונקציות שהוסרו, אך בצורה חמקנית יותר.
כאשר הוא מופעל במערכת הנגועה, האיום ירשום את עצמו תחילה כבוט. בשלב הבא, LilithBot תפענח את עצמו כדי לשחרר את קובץ התצורה שלו במכשיר. התוכנה הזדונית משתמשת במנגנון פענוח משלה בניסיון למנוע פענוח ידני. רכיב הגנב של האיום אוסף מידע הכולל היסטוריית דפדפן, קובצי Cookie ונתונים אישיים, כגון תמונות. הקבצים שהושגו מתווספים לארכיון ZIP לפני שליחתם לשרת Command-and-Control (C2, C&C) של הפעולה.
LilithBot משתמש בתעודות מזויפות כדי להגדיל את הסיכויים שלה להישאר ללא זיהוי. עם זאת, נראה כי האישורים שזוהו הונפקו על ידי 'Microsoft Code Signing PCA 2011' אך חסרים את האימות והחתימה הנגדית המתאימים.
