NetFlash

O grupo russo de hackers conhecido como Turla, está fazendo manchetes mais uma vez. O grupo de hackers Turla parece ter como alvo funcionários do governo armênio em sua última campanha. O grupo de hackers se infiltrou em dois sites pertencentes a uma organização da Armênia conhecida e em dois sites do governo armênio. O grupo russo usa essas páginas comprometidas para lançar ataques a bebedouros. Isso significa que os atacantes estão distribuindo atualizações falsas do Adobe Flash Player e tentando induzir os políticos e outras autoridades a fazer o download da atualização falsa.

Durante essa última campanha, o grupo Turla parece estar usando duas ferramentas de hackers do seu arsenal - PyFlash e Netflash. A ferramenta de hackers Netflash é umTrojan downloader que serve como carga útil do primeiro estágio na última campanha da Turla. Esse Trojan downloader é escrito na linguagem de programação '.NET', daí o nome Netflash.

O Trojan downloader Netflash parece ser distribuído junto com a falsa atualização do Adobe Flash Player. Isso significa que ambas as ferramentas provavelmente estarão presentes no sistema alvo, se elas caírem nos truques do grupo de hackers Turla. Ao executar a atualização falsa do Adobe Flash Player, a carga útil da ferramenta de hackers Netflash será plantada na pasta% TEMP%. A carga útil ameaçadora carrega o nome 'winhost.exe'.

Em seguida, o instalador do Adobe Flash será lançado, dando aos usuários a impressão de que não há nada de errado nos seus sistemas. O instalador do Adobe Flash Player é genuíno e mantém os usuários ocupados enquanto o downloader do Netflash Trojan está trabalhando em segundo plano silenciosamente. Quando o Trojan Netflash é iniciado, ele ganha persistência no sistema comprometido, garantindo que ele seja executado sempre que o usuário reiniciar o computador. Após concluir esta tarefa, o Netflash downloader estabelecerá uma conexão com o servidor de C&C (Comando e Controle) dos invasores e buscará a carga útil de uma ameaça adicional. Segundo os pesquisadores de segurança cibernética, o grupo de hackers Turla parece estar usando apenas o downloader do Netflash Trojan em uníssono com a carga útil secundária do PyFlash.

No entanto, a versão de download do Netflash Trojan estudada pelos analistas de malware data de agosto de 2019. Portanto, é possível que o grupo de hackers Turla tenha usado essa ameaça em outras campanhas anteriores.