Hackerii folosesc imagini pentru a ascunde programele malware, pentru a implementa VIP Keylogger și 0bj3ctivity Stealer

Criminalii cibernetici își duc tactica de ascuns la următorul nivel prin încorporarea codului rău intenționat în fișierele imagine pentru a furniza programe malware, cum ar fi VIP Keylogger și 0bj3ctivity Stealer, conform Raportului HP Wolf Security pentru Threat Insights pentru T3 2024. Aceste campanii sofisticate exploatează platforme de încredere precum Archive.org pentru a distribui malware, ocolind metodele tradiționale de detectare.

Cum funcționează atacul: malware ascuns în imagini

Campaniile încep cu un e-mail de phishing conceput pentru a înșela victimele să deschidă atașamente rău intenționate . Aceste e-mailuri imită adesea facturile sau comenzile de cumpărare pentru a crește credibilitatea. Odată deschis, atașamentul declanșează un exploit pentru vulnerabilitatea învechită Microsoft Equation Editor ( CVE-2017-11882 ) pentru a descărca un fișier VBScript.

Lanțul de atac

1. E-mail de phishing : Victimele primesc un e-mail înșelător care conține atașamente rău intenționate.
2. Execuție VBScript : VBScript descărcat rulează un script PowerShell.
3. Preluare imagine : PowerShell descarcă o imagine de pe Archive.org.
4. Extragere cod rău intenționat : imaginea conține malware codificat Base64 care este extras și decodat într-un executabil .NET.
5. Livrare sarcină utilă : încărcătorul .NET instalează încărcarea utilă finală a programelor malware.

În prima campanie, această sarcină utilă este VIP Keylogger, un instrument conceput pentru a captura apăsări de taste, conținut din clipboard, capturi de ecran și acreditări. În a doua campanie, sarcina utilă este 0bj3ctivity Stealer, un malware care fură informații.

Kiturile de malware coboară bariera pentru atacatori

Asemănările dintre cele două campanii indică faptul că infractorii cibernetici folosesc kituri de malware. Aceste kituri simplifică procesul de atac, reducând expertiza tehnică necesară pentru a executa lanțuri complexe de infecție. Această tendință reflectă creșterea în marfă a criminalității cibernetice, în cazul în care instrumentele pre-construite facilitează chiar și atacatorii începători să implementeze malware.

Tehnici suplimentare utilizate

HP Wolf Security a identificat, de asemenea, contrabanda cu HTML ca o tactică complementară. În această metodă, atacatorii furnizează malware precum XWorm RAT folosind droppers AutoIt ascunse în fișierele HTML rău intenționate. Se pare că unele dintre aceste fișiere au fost generate folosind instrumente GenAI, arătând modul în care inteligența artificială este utilizată pentru a îmbunătăți livrarea și ofuscarea malware-ului.

Campaniile GitHub oferă Lumma Stealer

O altă campanie demnă de remarcat a implicat utilizarea depozitelor GitHub care reprezentau surse pentru trucuri pentru jocuri video și instrumente de modificare. Aceste depozite au distribuit în secret programe malware Lumma Stealer prin dropper-uri bazate pe .NET, evidențiind modul în care atacatorii exploatează platformele populare pentru a viza utilizatorii nebănuiți.

De ce atacurile bazate pe imagini sunt amenințătoare

Încorporarea programelor malware în imagini este o tehnică cunoscută sub numele de steganografie, care ascunde codul rău intenționat în fișiere aparent inofensive. Această metodă ocolește multe sisteme antivirus, care sunt mai puțin probabil să examineze fișierele de imagine. Utilizarea platformelor de găzduire de încredere precum Archive.org complică și mai mult eforturile de detectare.

Strategii de atenuare pentru organizații

Pentru a se apăra împotriva acestor amenințări în evoluție, organizațiile ar trebui să implementeze următoarele măsuri:

1. Patch Known Vulnerabilities : Remediați vulnerabilitățile software învechite, cum ar fi CVE-2017-11882.
2. Activați detectarea avansată a amenințărilor : utilizați soluții capabile să detecteze steganografia și comportamentul suspect al fișierelor.
3. Educați angajații : instruiți personalul să recunoască e-mailurile de phishing și să evite deschiderea de atașamente neașteptate.
4. Limitați accesul la sursele de încredere : restricționați utilizarea platformelor de partajare a fișierelor la domeniile aprobate.

Comercializarea în creștere a criminalității cibernetice

Pe măsură ce kiturile de malware devin mai accesibile, atacatorii de toate nivelurile de calificare pot asambla lanțuri eficiente de infecție. Integrarea instrumentelor AI în crearea de malware amplifică și mai mult provocarea pentru apărătorii securității cibernetice, făcând atacurile mai variate și mai greu de atribuit.

Descoperirile HP Wolf Security subliniază urgența de a rămâne înaintea acestor amenințări în evoluție. Prin adoptarea de strategii proactive de apărare și monitorizarea tacticilor emergente, organizațiile își pot proteja mai bine rețelele împotriva acestor campanii sofisticate.