Carbanak-hackers gebruiken wrede Bateleur-malware om restaurantketens in de VS aan te vallen
Een hackgroep die de naam Carbanak draagt, heeft er hun missie van gemaakt om de servers van restaurantketens in de VS te infiltreren. Als u niet bekend bent met deze beruchte cybercriminelen, is het van cruciaal belang dat we ze introduceren. De malwareaanval is niet alleen uw dagelijkse wannabe-hackers die kleinschalige aanvallen uitvoeren met slecht gecodeerde malware. Nee, nee, Carbanak zit in de Hoofdklasse. De hackgroep werd in 2014 voor het eerst ontdekt door het Russische cybersecuritybedrijf Kaspersky Lab. Carbanak richt zich niet op reguliere gebruikers, maar op grote financiële instellingen . De gebruikelijke methode om hun aanvallen uit te voeren, is via phishing-e-mail. Het is moeilijk om precies in te schatten wat het totale bedrag is dat wordt gegenereerd door hun illegale activiteiten, maar er wordt aangenomen dat het ergens tussen de $ 500 miljoen en $ 1 miljard ligt. Nu deze informatie enig licht werpt op de omvang van de cybercriminaliteit waarbij Carbanak betrokken is, gaan we dieper in op de details van de aanval in kwestie.
Hoe Bateleur infecteert
De phishing-zwendel waar we het vandaag over hebben, werd voor het eerst ontdekt door experts van Proofpoint. Ze noemden de malware naar een soort adelaar - Bateleur. Hier is hoe het allemaal begint: het beoogde restaurant ontvangt een schijnbaar onschadelijke e-mail. De e-mail op zich zou hoogstwaarschijnlijk geen enkele verdenking wekken - hij wordt verzonden vanaf een Gmail- of een Outlook-adres. Het beweert dat het om een cheque gaat die zogenaamd al is besproken. Het bevat een Word-document dat bedoeld is om de ontvanger te laten denken dat dit in feite de controle is. Hier wordt het gevaarlijk: het document dat bij het frauduleuze e-mailbericht is gevoegd, is gecodeerd en het bevat ook een waarschuwing waarin staat dat het bestand is beschermd door 'Google Documents Protect Service' of 'Outlook Protect Service' (afhankelijk van welke provider de aanvallers hebben gebruikt om het bericht te verzenden). Geen van deze 'beschermingsdiensten' bestaat echter, en ze zijn niets meer dan een simpele maar sluwe truc met als doel het slachtoffer te misleiden door te denken dat het bestand dat ze gaan openen legitiem is. Onderaan het document vinden gebruikers de logo's van enkele populaire leveranciers van antivirusproducten, die daar zijn geplaatst om het slachtoffer verder te overtuigen om te denken dat het bestand betrouwbaar is. Het document zou het slachtoffer vragen om bewerking mogelijk te maken, en voor het geval de gebruiker in de val gelokt wordt door Carbanak, gaat het document verder met het inzetten van zijn kwaadaardige lading.
De aanvallende en verdedigende capaciteiten van Bateleur
Zodra Bateleur zijn weg op het systeem van het slachtoffer heeft gevonden, begint het te werken. Deze dreiging is bijzonder sluw omdat het beschikt over een hele reeks anti-detectietools. Bateleur kan herkennen of het zich in een sandbox bevindt - een gecontroleerde omgeving die malware-onderzoekers gebruiken om bedreigingen te bestuderen en tools te ontwikkelen om ze te bestrijden. Als dat het geval is, zou Bateleur zijn processen stopzetten en zo voorkomen dat de malware-experts het uit elkaar halen. Een andere slimme eigenschap is verduistering. Dit is het vermogen van een bedreiging om zijn code te verdoezelen en daarom analyse ervan bijna onmogelijk te maken.
Nadat we Bateleur's defensieve capaciteiten hebben opgesomd, wordt het tijd dat we in de offensieve kracht van de dreiging stappen. De Trojan is in staat om belangrijke informatie over de computerconfiguratie van het slachtoffer en lopende processen te exfiltreren. Daarnaast geeft het externe aanvallers de mogelijkheid om opdrachten en PowerShell-scripts uit te voeren. Bovendien is Bateleur volledig in staat om zijn kernmodules bij te werken en zelfs zichzelf te verwijderen. De Trojan kan screenshots maken van gegevens die hij belangrijk acht en deze naar de controleservers van Carbanak sturen . Bateleur is ook bedoeld om wachtwoorden te kunnen stelen , maar de huidige versie mist bepaalde modules die nodig zijn om deze specifieke functie mogelijk te maken. Echter, wetende op welk niveau Carbanak opereert, verwachten malware-experts dat dit binnenkort aan Bateleur zal worden toegevoegd.
Gezien alle veiligheidsmaatregelen die Carbanak heeft genomen om Bateleur zo ondoordringbaar mogelijk te maken, lijkt het erop dat deze Trojan een grote bedreiging zal blijven vormen voor bedrijven en instellingen, van wie velen niet beseffen hoe belangrijk het is om hun software up-to-date te houden. datum en het kopen van een gerenommeerde beveiligingssuite.