DarkIRC Malware

DarkIRC Malware is een bedreiging die te koop wordt aangeboden op ondergrondse hackerforums. De vermeende maker van deze malware en degene die er sinds augustus 2020 reclame voor maakt, gebruikt de accountnaam Freak_OG. Volgens de berichten is DarkIRC te koop voor $ 75. Hoewel niet is vastgesteld of het wordt uitgevoerd door de maker van de dreiging of een potentiële klant, is een aanvalscampagne die DarkIRC levert, gedetecteerd door infosec-onderzoekers. De belangrijkste doelen van de bedreigende campagne zijn blootgestelde Oracle WebLogic-servers die niet zijn gepatcht voor de kwetsbaarheid van CVE-2020-1482 Remote Code Execution (RCE), ondanks de patch die het probleem aanpakt dat in oktober 2020 door Oracle werd vrijgegeven. Deze specifieke kwetsbaarheid is extreem ernstig omdat het misbruikt kan worden zonder de noodzaak van enige authenticatie, inclusief gebruikersnamen of wachtwoorden.

De DarkIRC-malware heeft een breed scala aan bedreigende functies

Als een niet-gepatchte Oracle WebLogic-server wordt gedetecteerd, wordt DarkIRC erop afgeleverd via een HTTP GET-verzoek. Het beschadigde binaire bestand dat op het systeem is neergezet, is uitgerust met tegenmaatregelen tegen mogelijke analyse of tegen het uitvoeren in een sandbox-omgeving - het beëindigt de uitvoering ervan als het een virtuele machine van VMware, VBox, QEMU, VirtualBox of Xen detecteert.

De volgende van zijn aanvalsproces is om zichzelf te installeren in % APDATA% \ Chrome / Chrome.exe en vervolgens het persistentiemechanisme vast te stellen via het maken van een autorun-item. Nu kan DarkIRC doorgaan met het uitvoeren van zijn veelheid aan bedreigende activiteiten. De bedreiging heeft een breed scala aan beschikbare functies, aangezien het extra bestanden kan downloaden, willekeurige opdrachten kan uitvoeren, inloggegevens kan verzamelen, keylogging kan starten en DDoS-aanvallen (Distributed Denial of Service) kan uitvoeren. DarkIRC kan zichzelf via verschillende methoden naar andere systemen en apparaten verspreiden:

• Brute-force RDP-aanvallen
• MSSQL
• SMB
• USB

Als de bedreigingsactoren ervoor kiezen, kunnen ze DarkIRC ook gebruiken om op te treden als een Bitcoin-clipper. Wat dit met zich meebrengt, is dat de dreiging in realtime elk Bitcoin-portemonnee-adres dat naar het klembord is gekopieerd, zal vervangen door een van de hackers, waardoor de slachtoffers onbewust hun geld naar de verkeerde ontvanger sturen.