PEAKLIGHT lejupielādētājs

Kiberdrošības pētnieki ir atklājuši jaunu pilinātāju, kas paredzēts turpmāku ļaunprātīgas programmatūras posmu izvietošanai, galu galā mērķējot uz Windows sistēmām ar informācijas zagļiem un ielādētājiem.

Šis tikai atmiņas pilinātājs atšifrē un palaiž uz PowerShell balstītu lejupielādētāju, kas identificēts kā PEAKLIGHT. Ļaunprātīgas programmatūras celmi, kas tiek izplatīti, izmantojot šo metodi, ietver Lumma Stealer , Hijack Loader (pazīstams arī kā DOILoader, IDAT Loader vai SHADOWLADDER) un CryptBot , kas visi tiek piedāvāti kā daļa no ļaunprātīgas programmatūras kā pakalpojuma (MaaS) modeļa.

Sākotnējais uzbrukuma vektors un uzbrukuma ķēde

Uzbrukuma ķēde sākas ar Windows saīsnes (LNK) failu, kas tiek lejupielādēts, izmantojot lejupielādes metodes, piemēram, kad lietotāji tiešsaistē meklē filmas. Šie LNK faili ir iesaiņoti ZIP arhīvos, kas maskēti kā pirātiskas filmas.

Kad LNK fails ir lejupielādēts, tas tiek savienots ar satura piegādes tīklu (CDN), kurā tiek mitināts tikai atmiņai paredzēts JavaScript pilinātājs. Pēc tam šis pilinātājs upura datorā izpilda PEAKLIGHT PowerShell lejupielādētāja skriptu, kas, savukārt, sazinās ar Command-and-Control (C2) serveri, lai izgūtu papildu lietderīgās slodzes.

Pētnieki ir novērojuši dažādas LNK failu variācijas, daži izmanto zvaigznītes (*) kā aizstājējzīmes, lai izsauktu likumīgo mshta.exe bināro failu, ļaujot ļaunprātīgu kodu (ti, pilinātāju) diskrēti izpildīt no attālā servera.

PEAKLIGHT savu draudīgo darbību slēpj aiz likumīgām filmām

Tāpat tika konstatēts, ka pilinātājos ir gan hex-kodētas, gan Base64 kodētas PowerShell kravas. Šīs derīgās kravas tiek izpakotas, lai palaistu PEAKLIGHT — rīku, kas paredzēts turpmākas ļaunprātīgas programmatūras izvietošanai inficētajā sistēmā, vienlaikus lejupielādējot likumīgu filmas reklāmklipu, iespējams, kā mānekli.

PEAKLIGHT darbojas kā apslēpts PowerShell lejupielādētājs daudzpakāpju izpildes ķēdē. Tā meklē ZIP arhīvus konkrētos cieto failu ceļos. Ja šie arhīvi netiek atrasti, lejupielādētājs sazinās ar CDN vietni, lai lejupielādētu arhīva failu un saglabātu to diskā.

Šis nav pirmais gadījums, kad ļaunprātīga programmatūra ir vērsta uz lietotājiem, kuri meklē pirātiskas filmas. 2024. gada jūnija sākumā pētnieki atklāja sarežģītu infekcijas ķēdi, kuras rezultātā pēc mēģinājuma lejupielādēt video failu no filmas lejupielādes vietnes tika izvietots Hijack Loader.

Lejupielādētāji atver durvis specializētākai ļaunprātīgai programmatūrai

Lejupielādētāja ļaunprātīga programmatūra rada vairākas būtiskas briesmas gan personām, gan organizācijām:

• Sākotnējais kompromiss : Lejupielādētāja ļaunprogrammatūra bieži ir lielāka uzbrukuma pirmais posms. Pēc instalēšanas tā var klusi lejupielādēt un instalēt papildu ļaunprātīgas slodzes, tostarp uzlabotas ļaunprātīgas programmatūras.
• Datu zādzība : Lejupielādētāja ļaunprātīgas programmatūras nodrošinātās papildu slodzes var ietvert informācijas zagļus, kas tver privātus datus, piemēram, pieteikšanās akreditācijas datus, finanšu informāciju un personas datus, izraisot identitātes zādzību un finansiālus zaudējumus.
• Sistēmas nolaupīšana : dažas lejupielādes ļaunprātīgas programmatūras ir paredzētas attālās piekļuves rīku vai aizmugures durvju izvietošanai, ļaujot uzbrucējiem iegūt kontroli pār inficēto sistēmu. Tas var novest pie nesankcionētas piekļuves korporatīvajiem tīkliem, datu pārkāpumiem un turpmākiem sistēmas kompromisiem.
• Izpirkuma programmatūras izvietošana : lai instalētu izspiedējvīrusu programmatūru, var izmantot ļaunprātīgu programmatūru Downloader, kas var šifrēt upura failus un pieprasīt izpirkuma maksu par to atbrīvošanu. Tas var izraisīt ievērojamus datu zudumus un darbības traucējumus.
• Paaugstināta ievainojamība : pēc instalēšanas ļaunprogrammatūra lejupielādēšanai var vājināt sistēmas aizsardzību un radīt ievainojamības, ko var izmantot cita veida ļaunprātīga programmatūra. Tādējādi uzbrucējiem ir vieglāk izvietot bīstamākus vai pastāvīgākus draudus.
• Tīkla izplatība : Lejupielādētāja ļaunprogrammatūra var izplatīties tīklos, inficējot citas ierīces un sistēmas tajā pašā vidē. Tas var radīt plašus bojājumus un sarežģīt sanācijas pasākumus.
• Resursu aizplūšana : ļaunprātīga programmatūra var patērēt sistēmas resursus, piemēram, centrālo procesoru un joslas platumu, izraisot pasliktinātu veiktspēju un iespējamus pakalpojumu pārtraukumus. Tas var ietekmēt produktivitāti un palielināt darbības izmaksas.
• Juridiskie un atbilstības riski : inficētās organizācijas var saskarties ar juridiskām un atbilstības problēmām, īpaši, ja datu pārkāpums ir saistīts ar sensitīvu vai regulētu informāciju. Tā rezultātā var tikt uzlikti naudas sodi, juridiskas darbības un kaitējums reputācijai.

Kopumā lejupielādes ļaunprātīga programmatūra ir nopietns drauds, jo tā veicina turpmākus uzbrukumus un ietekmē ietekmēto sistēmu un tīklu drošību un integritāti.