Zlonamjerni softver MixShell

Istraživači kibernetičke sigurnosti otkrili su sofisticiranu operaciju društvenog inženjeringa, kodnog naziva ZipLine, koja koristi prikriveni zlonamjerni softver u memoriji poznat kao MixShell. Kampanja je prvenstveno usmjerena na proizvodne tvrtke ključne za lanac opskrbe i predstavlja rastući trend napadača koji iskorištavaju pouzdane poslovne tijekove rada umjesto tradicionalnih metoda krađe identiteta.

Od kontaktnih obrazaca do kompromisa

Za razliku od konvencionalnih phishing napada koji se isporučuju putem neželjenih e-poruka, operateri ZipLinea započinju svoj upad putem obrasca 'Kontaktirajte nas' tvrtke. Ovaj suptilni pristup uspostavlja kredibilitet od samog početka. Slijedi višetjedna razmjena profesionalne i uvjerljive komunikacije, često pojačane izmišljenim ugovorima o tajnosti podataka, prije nego što napadači isporuče zlonamjernu ZIP arhivu koja sadrži MixShell.

Ova strpljiva taktika izgradnje povjerenja razlikuje ZipLine od kampanja vođenih zastrašivanjem. U nekim slučajevima, napadači čak uokviruju svoj pristup oko inicijativa vođenih umjetnom inteligencijom, predstavljajući se kao partneri koji mogu pomoći u smanjenju troškova i povećanju učinkovitosti.

Tko je na nišanu?

ZipLineova ciljana skupina je širokog raspona, ali usmjerena na organizacije sa sjedištem u SAD-u unutar industrija ključnih za lanac opskrbe. Ostale pogođene regije uključuju Singapur, Japan i Švicarsku.

Ključni ciljani sektori uključuju:

• Industrijska proizvodnja (strojevi, metalni proizvodi, komponente, inženjerski sustavi)
• Hardver i poluvodiči
• Biotehnologija i farmaceutika
• Proizvodnja robe široke potrošnje

Napadači također koriste domene koje oponašaju društva s ograničenom odgovornošću registrirana u SAD-u, ponekad prenamjenjujući one legitimnih, ali neaktivnih tvrtki. Ove klonirane web stranice ukazuju na visoko strukturiranu operaciju velikih razmjera.

Anatomija napadačkog lanca

Uspjeh ZipLinea leži u višefaznom procesu zaraze osmišljenom za prikrivenost i upornost. ZIP arhive s uzorkom oružja obično se nalaze na Herokuapp.com, legitimnoj usluzi u oblaku, što pomaže zlonamjernom softveru da se uklopi u normalnu mrežnu aktivnost.

Proces infekcije uključuje:

• Prečac sustava Windows (LNK) unutar ZIP datoteke pokreće PowerShell program za učitavanje.
• Učitavač implementira MixShell, prilagođeni implantat koji se u potpunosti izvršava u memoriji.

• MixShell komunicira putem DNS tuneliranja (s HTTP rezervnim protokolom), omogućujući udaljeno izvršavanje naredbi, manipulaciju datotekama, obrnuto proxyiranje, perzistenciju i infiltraciju mreže.

• Neke verzije uključuju tehnike protiv otklanjanja pogrešaka i izbjegavanja sandboxa, zajedno s planiranim zadacima za održavanje postojanosti.

• Značajno je da LNK datoteka također pokreće dokument mamac, dodatno maskirajući zlonamjerno ponašanje.

Veze na prethodne aktivnosti prijetnji

Istraživači su identificirali preklapanja između digitalnih certifikata korištenih u infrastrukturi ZipLinea i onih povezanih s napadima TransferLoadera koji se pripisuju skupini prijetnji pod nazivom UNK_GreenSec. Iako je atribucija i dalje neizvjesna, ova veza ukazuje na dobro organiziranog, snalažljivog aktera s prethodnim iskustvom u kampanjama velikih razmjera.

Rizici ZipLineove kampanje

Posljedice uspješne MixShell infekcije mogu biti ozbiljne, od krađe intelektualnog vlasništva i kompromitiranja poslovne e-pošte do incidenata s ransomwareom i poremećaja u lancu opskrbe. S obzirom na prirodu ciljanih industrija, utjecaj bi se mogao proširiti s pojedinačnih tvrtki na cijele proizvodne ekosustave.

Obrambene mjere: Kako ostati ispred društveno inženjerskih prijetnji

Kampanja ZipLine ističe kako kibernetički kriminalci inoviraju, koriste ljudsku psihologiju, pouzdane komunikacijske kanale i teme povezane s umjetnom inteligencijom kako bi iskoristili povjerenje.

Kako bi se suprotstavile takvim prijetnjama, organizacije moraju:

• Usvojite obrane koje prvenstveno stavljaju prevenciju na prvo mjesto i sposobne su otkriti anomalna ponašanja.
• Osposobite zaposlenike da svakom dolaznom upitu pristupaju sa skepticizmom, bez obzira na korišteni kanal.
• Provedite stroga pravila rukovanja datotekama, posebno oko ZIP arhiva i datoteka prečaca.
• Pojačajte praćenje komunikacijskih anomalija temeljenih na DNS-u koje mogu ukazivati na tuneliranje.

Izgradnja kulture budnosti je ključna. Povjerenje, jednom kada se pretvori u oružje, postaje jedno od najučinkovitijih oruđa u arsenalu napadača.