Perisian Perisik Batavia

Kempen pengintipan siber yang canggih telah menyasarkan organisasi Rusia secara aktif sejak Julai 2024. Inti operasi ialah perisian pengintip yang sebelum ini tidak didokumentasikan bernama Batavia, yang digunakan melalui e-mel mengelirukan yang direka untuk muncul sebagai tawaran kontrak yang sah.

Rantaian Jangkitan: Dari E-mel kepada Pengintipan

Serangan bermula dengan e-mel pancingan data yang direka dengan teliti, dihantar daripada domain kawalan penyerang oblast-ru.com. Mesej ini memikat penerima dengan permintaan menandatangani kontrak palsu dan termasuk pautan berniat jahat. Mengklik pautan memulakan muat turun fail arkib yang mengandungi skrip Visual Basic Encoded (fail.VBE).

Setelah dilaksanakan, skrip melakukan peninjauan dengan mengumpul maklumat terperinci tentang sistem hos dan menghantarnya ke pelayan jauh. Ini mencetuskan muat turun muatan sekunder, boleh laku yang ditulis dalam Delphi.

Delphi Malware: Gangguan dan Kecurian Data

Malware berasaskan Delphi berkemungkinan menawarkan kontrak palsu untuk memastikan mangsa terlibat. Sementara itu, ia secara diam-diam mengumpul pelbagai maklumat sensitif termasuk:

• Log sistem dan maklumat perisian yang dipasang
• Microsoft Office dan jenis dokumen lain (*.doc, *.docx, *.ods, *.odt, *.pdf, *.xls, *.xlsx)
• Tangkapan skrin dan data daripada mana-mana peranti boleh tanggal yang disambungkan kepada hos

Fungsi perisian hasad tidak berakhir di situ. Ia juga memuat turun binari tambahan daripada pelayan Command-and-Controlnya. Fail ini direka bentuk untuk menuai pelbagai jenis fail yang lebih luas untuk exfiltration.

Meluaskan Keupayaan Pengumpulan Fail

Perduaan peringkat kedua meluaskan skop data yang dicuri dengan ketara untuk merangkumi:

• Imej dan fail grafik: *.jpeg, *.jpg, *.cdr
• E-mel dan kandungan berasaskan teks: *.eml, *.csv, *.txt, *.rtf
• Pembentangan dan arkib: *.ppt, *.pptx, *.odp, *.rar, *.zip

Semua maklumat yang dikumpul diasingkan ke domain yang berbeza, ru-exchange.com, yang juga berfungsi sebagai titik penghantaran untuk boleh laku peringkat keempat. Komponen yang tidak diketahui ini berkemungkinan meneruskan rantaian serangan dengan tindakan berniat jahat selanjutnya.

Kesan Berleluasa dan Data Dikumpul

Sepanjang tahun lalu, lebih daripada 100 pengguna merentas beberapa dozen organisasi telah disasarkan dengan mesej pancingan data ini. Muatan akhir memastikan penuaian data menyeluruh, mengekstrak bukan sahaja dokumen peribadi dan korporat tetapi juga:

• Inventori lengkap perisian yang dipasang
• Maklumat tentang pemacu peranti
• Butiran komponen sistem pengendalian

Kesimpulan: Ancaman Pengintipan yang Terkoordinasi dan Berkembang

Kempen perisian intip Batavia mencerminkan ancaman yang diselaraskan dan berterusan terhadap keselamatan organisasi di Rusia. Rantaian jangkitan berbilang peringkat, ditambah dengan keupayaannya untuk mengekstrak spektrum luas fail dan perisikan sistem, menandakannya sebagai alat pengintipan yang menggerunkan. Organisasi mesti terus berwaspada dan mengamalkan langkah keselamatan proaktif untuk mempertahankan diri daripada serangan yang lebih maju dan menipu.