PEAKLIGHT Downloader

Výskumníci v oblasti kybernetickej bezpečnosti objavili nový kvapkadlo navrhnutý na nasadenie následných štádií malvéru, ktoré sa v konečnom dôsledku zameriava na systémy Windows pomocou zlodejov a načítačov informácií.

Tento kvapkadlo iba v pamäti dešifruje a spúšťa sťahovanie založené na prostredí PowerShell, identifikované ako PEAKLIGHT. Medzi malvérové kmene distribuované touto metódou patrí Lumma Stealer , Hijack Loader (známy aj ako DOILoader, IDAT Loader alebo SHADOWLADDER) a CryptBot , ktoré sú všetky ponúkané ako súčasť modelu malvéru ako služby (MaaS).

Vektor počiatočného útoku a reťazec útoku

Reťazec útokov začína súborom skratky systému Windows (LNK), ktorý sa sťahuje pomocou metód sťahovania z jednotky, napríklad keď používatelia hľadajú filmy online. Tieto súbory LNK sú zabalené v archívoch ZIP maskovaných ako pirátske filmy.

Po stiahnutí sa súbor LNK pripojí k sieti na doručovanie obsahu (CDN), ktorá je hostiteľom zahmleného kvapkadla JavaScriptu iba v pamäti. Toto kvapkadlo potom spustí skript sťahovania PEAKLIGHT PowerShell na počítači obete, ktorý sa následne spojí so serverom Command-and-Control (C2), aby získal ďalšie užitočné zaťaženie.

Výskumníci pozorovali rôzne variácie súborov LNK, pričom niektorí používali hviezdičky (*) ako zástupné znaky na vyvolanie legitímneho binárneho súboru mshta.exe, čo umožnilo diskrétne spustenie škodlivého kódu (tj dropper) zo vzdialeného servera.

PEAKLIGHT skrýva svoju hrozivú akciu za legitímne filmy

Podobne sa zistilo, že kvapkadlá obsahujú užitočné zaťaženie PowerShell v hex kódovaní aj v kódovaní Base64. Tieto užitočné zaťaženia sú rozbalené na spustenie nástroja PEAKLIGHT, ktorý je navrhnutý na nasadenie následného malvéru na infikovaný systém a zároveň sťahovanie legitímneho filmového traileru, pravdepodobne ako návnady.

PEAKLIGHT funguje ako zmätený downloader založený na PowerShell v rámci viacstupňového vykonávacieho reťazca. Hľadá archívy ZIP v špecifických pevne zakódovaných cestách k súborom. Ak sa tieto archívy nenájdu, sťahovač kontaktuje lokalitu CDN, aby stiahol archívny súbor a uložil ho na disk.

Toto nie je prvý prípad malvéru zacieleného na používateľov vyhľadávajúcich pirátske filmy. Začiatkom júna 2024 výskumníci odhalili sofistikovaný infekčný reťazec, ktorý viedol k nasadeniu Hijack Loader po pokuse stiahnuť video súbor zo stránky na stiahnutie filmu.

Sťahovatelia otvoria dvere špecializovanejšiemu malvéru

Malvér na sťahovanie predstavuje niekoľko významných nebezpečenstiev pre jednotlivcov aj organizácie:

• Počiatočný kompromis : Malvér na sťahovanie je často prvou fázou väčšieho útoku. Po nainštalovaní môže v tichosti stiahnuť a nainštalovať ďalšie škodlivé zaťaženia vrátane pokročilejšieho malvéru.
• Krádež údajov : Dodatočné užitočné zaťaženie dodávané škodlivým softvérom na sťahovanie môže zahŕňať krádeže informácií, ktoré zachytávajú súkromné údaje, ako sú prihlasovacie údaje, finančné informácie a osobné údaje, čo vedie ku krádeži identity a finančnej strate.
• Únos systému : Niektorý malvér na sťahovanie je navrhnutý tak, aby nasadil nástroje vzdialeného prístupu alebo zadné vrátka, čo útočníkom umožňuje získať kontrolu nad infikovaným systémom. To môže viesť k neoprávnenému prístupu k podnikovým sieťam, narušeniu údajov a ďalšiemu ohrozeniu systému.
• Nasadenie ransomvéru : Malvér na sťahovanie sa môže použiť na inštaláciu ransomvéru, ktorý dokáže zašifrovať súbory obete a požadovať za ich vydanie výkupné. To môže mať za následok značnú stratu údajov a prerušenie prevádzky.
• Zvýšená zraniteľnosť : Po nainštalovaní môže malvér na sťahovanie oslabiť obranu systému a vytvoriť zraniteľné miesta, ktoré môžu zneužiť iné typy škodlivého softvéru. To útočníkom uľahčuje nasadenie nebezpečnejších alebo pretrvávajúcich hrozieb.
• Šírenie siete : Malvér na sťahovanie sa môže šíriť po sieťach a infikovať ďalšie zariadenia a systémy v rovnakom prostredí. To môže spôsobiť rozsiahle škody a zvýšiť zložitosť úsilia o nápravu.
• Vyčerpanie zdrojov : Malvér môže spotrebovať systémové zdroje, ako je CPU a šírka pásma, čo vedie k zníženiu výkonu a potenciálnym výpadkom služieb. To môže ovplyvniť produktivitu a zvýšiť prevádzkové náklady.
• Právne riziká a riziká súvisiace s dodržiavaním predpisov : Infikované organizácie môžu čeliť právnym problémom a problémom s dodržiavaním predpisov, najmä ak porušenie údajov zahŕňa citlivé alebo regulované informácie. To môže mať za následok pokuty, právne kroky a poškodenie dobrého mena.

Celkovo je malvér na sťahovanie vážnou hrozbou vzhľadom na jeho úlohu pri uľahčovaní ďalších útokov a ovplyvňovaní bezpečnosti a integrity postihnutých systémov a sietí.