ПЕАКЛИГХТ Довнлоадер

Истраживачи сајбер-безбедности открили су нови дроппер дизајниран да примени следеће фазе малвера, на крају циљајући Виндовс системе крадљивачима информација и учитавачима.

Овај дроппер само за меморију дешифрује и покреће програм за преузимање заснован на ПоверСхелл-у, идентификован као ПЕАКЛИГХТ. Сојеви злонамерног софтвера који се дистрибуирају овим методом укључују Лумма Стеалер , Хијацк Лоадер (такође познат као ДОИЛоадер, ИДАТ Лоадер или СХАДОВЛАДДЕР) и ЦриптБот , који се сви нуде као део модела малвера као услуге (МааС).

Почетни вектор напада и ланац напада

Ланац напада почиње са Виндовс пречицом (ЛНК) датотеком која се преузима путем метода преузимања, као што је када корисници претражују филмове на мрежи. Ове ЛНК датотеке су упаковане у ЗИП архиве прерушене у пиратске филмове.

Једном преузета, ЛНК датотека се повезује са мрежом за испоруку садржаја (ЦДН) у којој се налази замућени ЈаваСцрипт дроппер који се налази само у меморији. Овај дроппер затим извршава ПЕАКЛИГХТ ПоверСхелл скрипту за преузимање на жртвиној машини, која, заузврат, контактира сервер за команду и контролу (Ц2) ради преузимања даљег корисног оптерећења.

Истраживачи су приметили различите варијације ЛНК датотека, при чему су неке користиле звездице (*) као џокере за позивање легитимне бинарне датотеке мсхта.еке, омогућавајући да се злонамерни код (тј. дроппер) дискретно извршава са удаљеног сервера.

ПЕАКЛИГХТ крије своју претећу акцију иза легитимних филмова

Слично томе, откривено је да испуштачи садрже и хексадецимални и Басе64 кодирани ПоверСхелл корисни терет. Ови корисни садржаји су распаковани да би се покренуо ПЕАКЛИГХТ, алатка дизајнирана за примену накнадног малвера на зараженом систему, док се истовремено преузима легитимни трејлер филма, вероватно као мамац.

ПЕАКЛИГХТ функционише као замућени програм за преузимање заснован на ПоверСхелл-у унутар вишестепеног ланца извршавања. Он тражи ЗИП архиве у одређеним чврсто кодираним путањама датотека. Ако ове архиве нису пронађене, програм за преузимање контактира ЦДН локацију да преузме архивску датотеку и сачува је на диску.

Ово није први случај да малвер циља кориснике који траже пиратске филмове. Почетком јуна 2024. истраживачи су открили софистицирани ланац инфекције који је резултирао применом Хијацк Лоадер-а након покушаја преузимања видео датотеке са сајта за преузимање филмова.

Корисници који преузимају отварају врата за специјализованији малвер

Малвер за преузимање представља неколико значајних опасности и за појединце и за организације:

• Почетни компромис : Малвер за преузимање је често прва фаза већег напада. Једном инсталиран, може тихо да преузима и инсталира додатне злонамерне садржаје, укључујући напреднији малвер.
• Крађа података : Додатни садржаји које испоручује злонамерни софтвер за преузимање могу укључивати крадљивце информација које хватају приватне податке, као што су акредитиви за пријаву, финансијске информације и лични детаљи, што доводи до крађе идентитета и финансијског губитка.
• Отмица система : Неки злонамерни софтвер за преузимање је дизајниран да примени алатке за даљински приступ или бацкдоор, омогућавајући нападачима да стекну контролу над зараженим системом. Ово може довести до неовлашћеног приступа корпоративним мрежама, кршења података и даљег компромитовања система.
• Примена рансомваре-а : Малвер за преузимање може се користити за инсталирање рансомваре-а, који може да шифрује датотеке жртве и захтева плаћање откупнине за њихово ослобађање. То може довести до значајног губитка података и прекида рада.
• Повећана рањивост : Једном инсталиран, малвер за преузимање може да ослаби одбрану система и створи рањивости које други типови малвера могу да искористе. Ово нападачима олакшава постављање опаснијих или упорнијих претњи.
• Мрежно ширење : злонамерни софтвер за преузимање може се ширити по мрежама, инфицирајући друге уређаје и системе у истом окружењу. Ово може проузроковати широку штету и повећати сложеност напора на санацији.
• Одлив ресурса : Злонамерни софтвер може да потроши системске ресурсе као што су ЦПУ и пропусни опсег, што доводи до смањених перформанси и потенцијалних прекида услуга. Ово може утицати на продуктивност и повећати оперативне трошкове.
• Правни ризици и ризици усклађености : Заражене организације могу се суочити са правним проблемима и проблемима усклађености, посебно ако повреда података укључује осетљиве или регулисане информације. То може резултирати новчаним казнама, правним поступцима и оштећењем угледа.

Све у свему, малвер за преузимање представља озбиљну претњу због своје улоге у омогућавању даљих напада и утицају на безбедност и интегритет погођених система и мрежа.