PEAKLIGHT Downloader

Cybersäkerhetsforskare har upptäckt en ny dropper designad för att distribuera efterföljande stadier av skadlig programvara, i slutändan inriktad på Windows-system med informationsstöldare och laddare.

Denna dropper för endast minne dekrypterar och kör en PowerShell-baserad nedladdare, identifierad som PEAKLIGHT. Skadlig programvara som distribueras genom denna metod inkluderar Lumma Stealer , Hijack Loader (även känd som DOILoader, IDAT Loader eller SHADOWLADDER) och CryptBot , som alla erbjuds som en del av en malware-as-a-service-modell (MaaS).

Initial attackvektor och attackkedja

Attackkedjan börjar med en Windows-genvägsfil (LNK) som laddas ner genom drive-by-nedladdningsmetoder, till exempel när användare söker efter filmer online. Dessa LNK-filer är förpackade i ZIP-arkiv förklädda som piratkopierade filmer.

När LNK-filen väl har laddats ner ansluts den till ett Content Delivery Network (CDN) som är värd för en fördunklad, endast minnes JavaScript-droppar. Denna dropper exekverar sedan PEAKLIGHT PowerShell-nedladdningsskriptet på offrets dator, som i sin tur kontaktar en Command-and-Control-server (C2) för att hämta ytterligare nyttolaster.

Forskare har observerat olika LNK-filvariationer, där vissa använder asterisker (*) som jokertecken för att anropa den legitima mshta.exe-binären, vilket gör att den skadliga koden (dvs. dropparen) diskret kan exekveras från en fjärrserver.

PEAKLIGHT gömmer sin hotfulla handling bakom legitima filmer

På liknande sätt har dropparna visat sig innehålla både hex-kodade och Base64-kodade PowerShell-nyttolaster. Dessa nyttolaster packas upp för att köra PEAKLIGHT, ett verktyg utformat för att distribuera efterföljande skadlig programvara på ett infekterat system samtidigt som man laddar ner en legitim filmtrailer, troligen som ett lockbete.

PEAKLIGHT fungerar som en obfuskerad PowerShell-baserad nedladdningsprogram inom en flerstegs exekveringskedja. Den söker efter ZIP-arkiv i specifika hårdkodade filvägar. Om dessa arkiv inte hittas kontaktar nedladdaren en CDN-webbplats för att ladda ner arkivfilen och spara den på disken.

Detta är inte den första instansen av skadlig programvara som riktar sig till användare som söker efter piratkopierade filmer. I början av juni 2024 upptäckte forskare en sofistikerad infektionskedja som resulterade i installationen av Hijack Loader efter ett försök att ladda ner en videofil från en filmnedladdningssida.

Nedladdare öppnar dörren för mer specialiserad skadlig programvara

Skadlig programvara för nedladdning utgör flera betydande faror för både individer och organisationer:

• Initial kompromiss : Skadlig programvara för nedladdning är ofta det första steget i en större attack. När det väl är installerat kan det ladda ner och installera ytterligare skadliga nyttolaster, inklusive mer avancerad skadlig programvara.
• Datastöld : Den extra nyttolasten som levereras av skadlig programvara för nedladdning kan inkludera informationsstölder som samlar in privata data, såsom inloggningsuppgifter, finansiell information och personlig information, vilket leder till identitetsstöld och ekonomisk förlust.
• Systemkapning : Viss skadlig programvara för nedladdning är utformad för att distribuera fjärråtkomstverktyg eller bakdörrar, vilket gör att angripare kan få kontroll över det infekterade systemet. Detta kan leda till obehörig åtkomst till företagsnätverk, dataintrång och ytterligare systemkompromisser.
• Utplacering av ransomware : Skadlig programvara för nedladdning kan användas för att installera ransomware, som kan kryptera ett offers filer och kräva en lösensumma för att de ska släppas. Detta kan resultera i betydande dataförluster och driftstörningar.
• Ökad sårbarhet : När den väl har installerats kan skadlig programvara för nedladdning försvaga systemets försvar och skapa sårbarheter som andra typer av skadlig programvara kan utnyttja. Detta gör det lättare för angripare att distribuera farligare eller ihållande hot.
• Nätverksförökning : Skadlig programvara som laddar ned kan spridas över nätverk och infektera andra enheter och system inom samma miljö. Detta kan orsaka omfattande skador och öka komplexiteten i saneringsinsatserna.
• Resursförbrukning : Skadlig programvara kan konsumera systemresurser som CPU och bandbredd, vilket leder till försämrad prestanda och potentiella tjänsteavbrott. Detta kan påverka produktiviteten och öka driftskostnaderna.
• Juridiska och efterlevnadsrisker : Infekterade organisationer kan möta juridiska och efterlevnadsproblem, särskilt om dataintrånget involverar känslig eller reglerad information. Detta kan resultera i böter, rättsliga åtgärder och skada på rykte.

Sammantaget är skadlig programvara för nedladdare ett allvarligt hot på grund av dess roll i att underlätta ytterligare attacker och påverka säkerheten och integriteten hos de berörda systemen och nätverken.