DarkGate Malware

En malspam-kampanj som använder en lättillgänglig skadlig programvara känd som DarkGate har uppdagats. Cybersäkerhetsforskare föreslår att ökningen av DarkGate skadlig programvara troligen beror på skadlig programvara utvecklarens senaste beslut att erbjuda den att hyra ut till en utvald grupp av cyberbrottsliga partners. Utbyggnaden av detta hot har också associerats med en storskalig kampanj som utnyttjar komprometterade e-posttrådar för att lura mottagare att omedvetet ladda ner skadlig programvara.

DarkGate Malware levereras via en attack i flera steg

Attacken inleds genom att locka offret till en nätfiske-URL, som, när den klickas, går genom ett trafikriktningssystem (TDS). Målet är att dirigera de intet ont anande offren till en MSI-nyttolast under vissa specifika förhållanden. Ett av dessa villkor är närvaron av en uppdateringshuvud i HTTP-svaret.

När MSI-filen öppnas utlöses en flerstegsprocess. Denna process innebär att man använder ett AutoIt-skript för att exekvera skalkod, vilket fungerar som ett sätt att dekryptera och starta DarkGate-hotet via en kryptering eller laddare. För att vara mer exakt är laddaren programmerad att analysera AutoIt-skriptet och extrahera den krypterade nyttolasten från det.

En alternativ version av dessa attacker har också observerats. Istället för en MSI-fil används ett Visual Basic-skript som använder cURL för att hämta både den körbara AutoIt-filen och skriptfilen. Den exakta metoden som används för att leverera VB-skriptet är för närvarande okänd.

DarkGate kan utföra många skadliga åtgärder på de överträdda enheterna

DarkGate har en rad funktioner som gör det möjligt för den att undvika upptäckt av säkerhetsprogramvara, etablera uthållighet genom Windows-registerändringar, höja privilegier och stjäla data från webbläsare och programvaruplattformar som Discord och FileZilla.

Dessutom upprättar den kommunikation med en Command-and-Control-server (C2), vilket möjliggör åtgärder som filuppräkning, dataextraktion, initiering av brytningsoperationer för kryptovaluta, fjärrinfångning av skärmdumpar och exekvering av olika kommandon.

Detta hot marknadsförs främst på underjordiska forum under en prenumerationsmodell. De erbjudna prispunkterna varierar, från 1 000 USD per dag till 15 000 USD per månad och till och med upp till 100 000 USD per år. Skadlig programvaras skapare marknadsför den som "det ultimata verktyget för penntestare/red-teamers", och lyfter fram dess exklusiva funktioner som förmodligen inte finns någon annanstans. Intressant nog har cybersäkerhetsforskare upptäckt tidigare iterationer av DarkGate som också inkluderade en lösenprogramsmodul.

Fall inte för tricken som används vid nätfiskeattacker

Nätfiskeattacker är en primär leveransväg för en mängd olika skadliga hot, inklusive stjälare, trojaner och skadlig programvara. Att känna igen sådana nätfiskeförsök är avgörande för att förbli säker och inte utsätta dina enheter för några farliga säkerhets- eller integritetsrisker. Här är några typiska röda flaggor att vara medveten om:

• Misstänkt avsändaradress : Kontrollera avsändarens e-postadress noggrant. Var försiktig om den innehåller felstavningar, extra tecken eller inte matchar den officiella domänen för organisationen den påstår sig komma från.
• Ospecificerade hälsningar : Nätfiske-e-postmeddelanden använder ofta allmänna hälsningar som "Kära användare" istället för att tilltala dig med ditt namn. Legitima organisationer personifierar vanligtvis sin kommunikation.
• Brådskande eller hotande språk : Nätfiske-e-postmeddelanden tenderar att skapa en känsla av brådska eller rädsla för att uppmana till omedelbara åtgärder. De kan hävda att ditt konto är avstängt, eller så kommer du att få konsekvenser om du inte agerar snabbt.
• Ovanliga förfrågningar om personlig information : Var försiktig med e-postmeddelanden som ber om känslig information som lösenord, personnummer eller kreditkortsuppgifter. Legitima organisationer kommer inte att be om sådan information via e-post.
• Ovanliga bilagor : Öppna inte bilagor från okända avsändare. De kan innehålla skadlig programvara. Även om bilagan verkar bekant, var försiktig om den är oväntad eller uppmanar dig att vidta omedelbara åtgärder.
• Too Good to Be True Erbjudanden : Nätfiske-e-postmeddelanden kan lova otroliga belöningar, priser eller erbjudanden som är avsedda att locka dig att klicka på skadliga länkar eller tillhandahålla personlig information.
• Oväntade länkar : Var försiktig med e-postmeddelanden som oväntat innehåller länkar. Istället för att klicka, skriv in den officiella webbplatsens adress manuellt i din webbläsare.
• Känslomässig manipulation : Nätfiske-e-postmeddelanden kan försöka väcka känslor som nyfikenhet, sympati eller spänning för att få dig att komma åt länkar eller ladda ner bilagor.
• Brist på kontaktinformation : Legitima organisationer tillhandahåller vanligtvis kontaktinformation. Om ett e-postmeddelande saknar denna information eller endast innehåller en allmän e-postadress, var försiktig.

Att vara vaksam och utbilda dig själv om dessa röda flaggor kan hjälpa dig att skydda dig själv från nätfiskeförsök. Om du får ett e-postmeddelande som väcker misstankar är det bättre att verifiera dess legitimitet via officiella kanaler innan du vidtar några åtgärder.