DarkIRC Malware

O DarkIRC Malware é uma ameaça que está sendo colocada à venda em fóruns de hackers clandestinos. O suposto criador desse malware e aquele que o anuncia desde agosto de 2020 usa o nome de conta Freak_OG. De acordo com as postagens, o DarkIRC está disponível para compra por $75. Embora não tenha sido determinado se ele é executado pelo criador da ameaça ou por um cliente potencial, uma campanha de ataque entregando DarkIRC foi detectada por pesquisadores da Infosec. Os principais alvos da campanha ameaçadora são os servidores Oracle WebLogic expostos que não foram corrigidos para a vulnerabilidade de execução remota de código (RCE) CVE-2020-1482, apesar do patch que aborda o problema lançado pela Oracle em outubro de 2020. Esta vulnerabilidade em particular é extremamente severo, pois pode ser explorado sem a necessidade de qualquer autenticação, incluindo nomes de usuários ou senhas.

O DarkIRC Malware Possui uma Ampla Gama de Funções Ameaçadoras

Se um servidor Oracle WebLogic sem patch for detectado, o DarkIRC será entregue nele por meio de uma solicitação HTTP GET. O binário corrompido descartado no sistema está equipado com contramedidas contra análise potencial ou sendo executado em um ambiente sandbox - ele termina sua execução se detectar um VMware, VBox, QEMU, VirtualBox ou máquina virtual Xen.

O próximo processo de ataque é instalar-se em % APDATA% \ Chrome / Chrome.exe e, em seguida, estabelecer seu mecanismo de persistência por meio da criação de uma entrada de execução automática. Agora, DarkIRC pode prosseguir para realizar suas inúmeras atividades ameaçadoras. A ameaça tem uma ampla gama de funções disponíveis, pois pode baixar arquivos adicionais, executar comandos arbitrários, colher credenciais, iniciar keylogging e conduzir ataques DDoS (negação de serviço distribuída). DarkIRC é capaz de se propagar para outros sistemas e dispositivos por meio de vários métodos diferentes:

• Ataques RDP de força bruta
• MSSQL
• SMB
• USB

Se os autores da ameaça quiserem, eles também podem aproveitar o DarkIRC para agir como um clipper de Bitcoin. O que isso implica é que a ameaça irá, em tempo real, substituir qualquer endereço de carteira Bitcoin que tenha sido copiado para a área de transferência por um dos hackers, resultando nas vítimas enviando seus fundos sem saber para o destinatário errado.