LeakNet Ransomware

Операција рансомвера LeakNet увела је значајну еволуцију у тактикама упада користећи технику социјалног инжењеринга ClickFix као свој примарни вектор уласка. Овај приступ манипулише корисницима да извршавају злонамерне команде под маском решавања измишљених системских грешака. За разлику од традиционалних метода приступа, као што је куповина украдених акредитива од почетних брокера приступа, ова тактика директно искоришћава поверење корисника и њихово рутинско понашање.

Компромитовани, али иначе легитимни веб-сајтови се користе за испоруку лажних CAPTCHA упита за верификацију. Ови упити упућују кориснике да копирају и изврше злонамерну команду msiexec.exe путем дијалога „Покрени“ у систему Windows. Пошто интеракција опонаша свакодневне системске активности, напад делује рутински и избегава да изазове непосредну сумњу. Ова широка, опортунистичка стратегија омогућава циљање у више индустрија без дискриминације.

Стратешка промена: Независност од почетних брокера приступа

Прелазак компаније LeakNet на ClickFix представља прорачунату оперативну промену. Елиминисањем ослањања на добављаче акредитива трећих страна, група смањује и трошкове и кашњење повезано са добијањем приступа. Ова независност уклања кључно уско грло, омогућавајући кампањама да се брже и ефикасније скалирају.

Поред тога, коришћење угрожене легитимне инфраструктуре уместо система које контролишу нападачи значајно смањује индикаторе мреже које се могу детектовати. Ово чини традиционалне одбране засноване на периметру мање ефикасним, јер се злонамерне активности беспрекорно стапају са поузданим саобраћајем.

Извршавање без датотека: Учитавач заснован на денским бројевима у акцији

Кључна техничка карактеристика ових напада је распоређивање постепено учитаваног програма „Command-and-Control“ изграђеног на Deno JavaScript runtime-у. Овај програм за учитавање извршава Base64-кодирани JavaScript директно у меморији, избегавајући писање на диск и минимизирајући форензичке артефакте.

Једном активан, учитавач обавља неколико важних функција:

• Профилише угрожени систем како би прикупио информације о окружењу
• Успоставља комуникацију са екстерним сервером ради преузимања секундарних корисних оптерећења
• Одржава перзистентност путем механизма анкетирања који континуирано преузима и извршава додатни код

Овај модел извршавања без датотека побољшава прикривеност и компликује напоре откривања традиционалним безбедносним алатима.

Доследан приручник за постексплоатацију

Упркос варијацијама у почетном приступу, операције LeakNet-а се конвергирају у предвидљив ток рада након компромитовања. Ова доследност пружа браниоцима драгоцене могућности за откривање и ометање пре распоређивања ransomware-а.

Типичан низ напада укључује:

• Бочно учитавање DLL-а ради извршавања злонамерних библиотека које испоручи програм за учитавање
• Латерално кретање помоћу алата као што је PsExec за проширење приступа мрежи
• Извиђање акредитива путем cmd.exe /c klist за идентификацију активних сесија аутентификације
• Припрема података и њихово премештање кроз S3 корпе, маскирање активности као легитимног саобраћаја у облаку
• Завршна фаза шифровања за распоређивање ransomware-а

Коришћење изворних Windows алата и уобичајених cloud сервиса омогућава да се злонамерне радње уклопе у нормално понашање система и мреже.

Профил претње: Порекло и обим циљања

Појавивши се у новембру 2024. године, LeakNet се првобитно позиционирао као „дигитални надзорник“, промовишући теме транспарентности и слободе интернета. Међутим, уочене активности откривају шири и агресивнији оперативни обим, укључујући нападе на индустријске организације.

Неселективна стратегија циљања кампање, у комбинацији са скалабилним методама инфекције, наглашава њену намеру да максимизира досег, а не да се фокусира на одређене секторе.

Одбрамбене импликације: Предвидљивост као предност

Иако су се технике уласка компаније LeakNet развиле, његово ослањање на понављајући ланац експлоатације уводи критичну слабост. Свака фаза напада, од извршења до бочног кретања и крађе података, прати препознатљиве обрасце понашања.

Ова доследност омогућава браниоцима да:

• Откривање аномалне употребе легитимних системских алата
• Праћење необичних образаца извршавања у меморији
• Идентификујте сумњиве интеракције са складиштем у облаку
• Прекини напредак напада пре него што дође до шифровања

Кључни закључак је јасан: док почетне методе приступа могу да варирају, основни оперативни план остаје стабилан, нудећи вишеструке могућности за рано откривање и реаговање.