PEAKLIGHT Downloader

Istraživači kibernetičke sigurnosti otkrili su novu kapaljku dizajniranu za implementaciju sljedećih faza zlonamjernog softvera, u konačnici ciljajući na Windows sustave s kradljivcima i učitavačima informacija.

Ovaj dropper samo za memoriju dekriptira i pokreće program za preuzimanje temeljen na PowerShell-u, identificiran kao PEAKLIGHT. Vrste zlonamjernog softvera distribuirane ovom metodom uključuju Lumma Stealer , Hijack Loader (također poznat kao DOILoader, IDAT Loader ili SHADOWLADDER) i CryptBot , a svi se nude kao dio modela malware-as-a-service (MaaS).

Početni vektor napada i lanac napada

Lanac napada počinje datotekom Windows prečaca (LNK) koja se preuzima metodama preuzimanja putem pogona, primjerice kada korisnici traže filmove na mreži. Ove LNK datoteke zapakirane su u ZIP arhive prerušene u piratske filmove.

Nakon preuzimanja, LNK datoteka povezuje se s mrežom za isporuku sadržaja (CDN) koja ugošćuje maskirani JavaScript dropper samo za memoriju. Ovaj dropper zatim izvršava PEAKLIGHT PowerShell skriptu za preuzimanje na žrtvinom stroju, koji zauzvrat kontaktira Command-and-Control (C2) poslužitelj kako bi dohvatio daljnje sadržaje.

Istraživači su uočili različite varijacije LNK datoteka, pri čemu su neke koristile zvjezdice (*) kao zamjenske znakove za pozivanje legitimne binarne datoteke mshta.exe, dopuštajući da se zlonamjerni kod (tj. dropper) diskretno izvrši s udaljenog poslužitelja.

PEAKLIGHT skriva svoje prijeteće djelovanje iza legitimnih filmova

Slično tome, otkriveno je da dropperi sadrže i heksadecimalno kodirane i Base64 kodirane PowerShell sadržaje. Ovi korisni učinci se raspakiraju za pokretanje PEAKLIGHT-a, alata dizajniranog za implementaciju naknadnog zlonamjernog softvera na zaraženom sustavu uz istovremeno preuzimanje legitimnog trailera za film, vjerojatno kao mamac.

PEAKLIGHT funkcionira kao obfuscirani preuzimač temeljen na PowerShell-u unutar lanca izvršavanja u više faza. Pretražuje ZIP arhive u određenim tvrdo kodiranim stazama datoteka. Ako se te arhive ne pronađu, preuzimatelj kontaktira CDN stranicu kako bi preuzeo arhivsku datoteku i spremio je na disk.

Ovo nije prvi slučaj zlonamjernog softvera koji cilja korisnike koji traže piratske filmove. Početkom lipnja 2024. istraživači su otkrili sofisticirani lanac zaraze koji je rezultirao uvođenjem Hijack Loadera nakon pokušaja preuzimanja videodatoteke s stranice za preuzimanje filmova.

Downloaderi otvaraju vrata za više specijaliziranih zlonamjernih programa

Zlonamjerni softver za preuzimanje predstavlja nekoliko značajnih opasnosti za pojedince i organizacije:

• Početno ugrožavanje : zlonamjerni softver za preuzimanje često je prva faza većeg napada. Jednom instaliran, može tiho preuzimati i instalirati dodatni zlonamjerni sadržaj, uključujući napredniji zlonamjerni softver.
• Krađa podataka : dodatni teret koji isporučuje zlonamjerni softver za preuzimanje može uključivati kradljivce informacija koji hvataju privatne podatke, kao što su vjerodajnice za prijavu, financijski podaci i osobni podaci, što dovodi do krađe identiteta i financijskog gubitka.
• Otmica sustava : Neki zlonamjerni softver za preuzimanje dizajniran je za implementaciju alata za daljinski pristup ili stražnjih vrata, omogućujući napadačima da steknu kontrolu nad zaraženim sustavom. To može dovesti do neovlaštenog pristupa korporativnim mrežama, povrede podataka i daljnjeg ugrožavanja sustava.
• Implementacija ransomwarea : Zlonamjerni softver za preuzimanje može se koristiti za instaliranje ransomwarea, koji može kriptirati žrtvine datoteke i zahtijevati plaćanje otkupnine za njihovo puštanje. To može rezultirati značajnim gubitkom podataka i prekidom rada.
• Povećana ranjivost : jednom instaliran, zlonamjerni softver za preuzimanje može oslabiti obranu sustava i stvoriti ranjivosti koje druge vrste zlonamjernog softvera mogu iskoristiti. To napadačima olakšava postavljanje opasnijih ili trajnijih prijetnji.
• Mrežno širenje : zlonamjerni softver za preuzimanje može se širiti mrežama, zaraziti druge uređaje i sustave unutar istog okruženja. To može prouzročiti veliku štetu i povećati složenost sanacije.
• Crtanje resursa : Zlonamjerni softver može potrošiti sistemske resurse kao što su CPU i propusnost, što dovodi do smanjenih performansi i mogućih prekida usluge. To može utjecati na produktivnost i povećati operativne troškove.
• Pravni rizici i rizici usklađenosti : zaražene organizacije mogu se suočiti s pravnim problemima i problemima usklađenosti, posebno ako povreda podataka uključuje osjetljive ili regulirane informacije. To može rezultirati novčanim kaznama, pravnim postupcima i narušavanjem ugleda.

Općenito, zlonamjerni softver za preuzimanje ozbiljna je prijetnja zbog svoje uloge u omogućavanju daljnjih napada i utjecaju na sigurnost i integritet zahvaćenih sustava i mreža.