Higaisa APT

Higaisa APT (Advanced Persistent Threat) je hakerska grupa koja vjerojatno potječe s Korejskog poluotoka. Hakerska grupa Higaisa prvi put je opsežno proučavana 2019. Međutim, analitičari zlonamjernog softvera vjeruju da je Higaisa APT prvi put počeo s radom 2016., ali je uspio izbjeći privlačenje pažnje stručnjaka na području kibernetičke sigurnosti do 2019. Higaisa APT Čini se da koristi oba prilagođeni alati za hakiranje, kao i popularne javno dostupne prijetnje kao što su PlugX RAT (trojanac za daljinski pristup) i Gh0st RAT .

Hakerska grupa Higaisa uglavnom se oslanja na kampanje e-pošte za krađu identiteta za distribuciju zlonamjernog softvera. Prema istraživačima sigurnosti, u jednoj od najnovijih operacija Higaisa APT-a, korišteni su vektor infekcije zlonamjerne .LNK datoteke. Datoteke .LNK iz njihove najnovije kampanje bile su maskirane kao bezopasne datoteke kao što su rezultati ispita, životopisi, ponude za posao itd. Ranije ove godine hakerska grupa Higaisa koristila je e-poruke s temom COVID-19 kako bi propagirala oštećene .LNK datoteke svojim ciljevima.

Ako korisnika Higaisa APT prevari i otvori oštećenu datoteku, možda neće primijetiti ništa neobično. To je zato što ova hakerska grupa koristi datoteke varalice koje će zadržati pozornost korisnika i spriječiti ih da primjete da je njihov sustav provaljen. Zlonamjerna .LNK datoteka ima popis naredbi koje će tiho izvršavati u pozadini. Popis naredbi omogućit će prijetnji da:

• Postavite njegove datoteke u direktorij %APPDATA% na kompromitiranom hostu.
• Dešifrirajte i dekomprimirajte podatke iz LNK datoteke.
• Postavite JavaScript datoteku u mapu 'Preuzimanja' zaraženog sustava i zatim je pokrenite.

Dalje, JavaScript datoteka će se pobrinuti da pokreće skup naredbi, što bi omogućilo napadačima da dobiju podatke o zaraženom hostu i njegovim mrežnim postavkama. Zatim će se izvršiti jedna od datoteka koje su raspakirane iz zlonamjerne .LNK datoteke. Dotična JavaScript datoteka također će osigurati da prijetnja postane postojana na hostu kako bi se izvršila nakon ponovnog pokretanja.

Kako biste zaštitili svoj sustav od cyber napada, preporučljivo je uložiti u renomiranu, modernu antivi-rus aplikaciju.