MonsterV2 మాల్వేర్

సైబర్ భద్రతా పరిశోధకులు ఇటీవల TA585 గా ట్రాక్ చేయబడిన గతంలో నమోదుకాని బెదిరింపు కారకుడిని బయటపెట్టారు, అతను MonsterV2 అని పిలువబడే ఆఫ్-ది-షెల్ఫ్ మాల్వేర్ కుటుంబాన్ని అందించడానికి అధునాతన ఫిషింగ్ మరియు వెబ్-ఇంజెక్షన్ ప్రచారాలను నిర్వహిస్తున్నాడు.

TA585 — పూర్తి కిల్ చైన్‌ను కలిగి ఉన్న ఆపరేటర్

TA585 దాని మొత్తం దాడి గొలుసును ఎండ్-టు-ఎండ్ నియంత్రిస్తున్నట్లు కనిపిస్తుంది కాబట్టి ఇది ప్రత్యేకంగా నిలుస్తుంది. పంపిణీని కొనుగోలు చేయడం, ప్రారంభ-యాక్సెస్ బ్రోకర్ల నుండి యాక్సెస్‌ను లీజుకు తీసుకోవడం లేదా మూడవ-పక్ష ట్రాఫిక్ సేవలపై ఆధారపడటం కంటే, TA585 దాని స్వంత మౌలిక సదుపాయాలు, డెలివరీ మెకానిక్స్ మరియు ఇన్‌స్టాలేషన్ సాధనాలను నిర్వహిస్తుంది. విశ్లేషకులు క్లస్టర్‌ను అధునాతనమైనదిగా వర్ణిస్తారు: విజయాన్ని పెంచడానికి మరియు విశ్లేషణను నివారించడానికి నటుడు వెబ్ ఇంజెక్షన్లు, ఫిల్టరింగ్ మరియు పర్యావరణ తనిఖీలు మరియు బహుళ డెలివరీ పద్ధతులను ఉపయోగిస్తాడు.

ఫిషింగ్, క్లిక్‌ఫిక్స్ మరియు IRS-నేపథ్య లూర్‌లు — సోషల్ ఇంజనీరింగ్ ప్లేబుక్
ప్రారంభ ప్రచారాలు US ఇంటర్నల్ రెవెన్యూ సర్వీస్ (IRS) చుట్టూ ఉన్న క్లాసిక్ ఫిషింగ్ ఎరలపై ఆధారపడి ఉన్నాయి. టార్గెట్‌లకు నకిలీ URLలను సూచించే సందేశాలు వచ్చాయి, అవి PDFని తెరిచాయి; ఆ PDFలో ClickFix సోషల్ ఇంజనీరింగ్ వ్యూహాన్ని ఉపయోగించే వెబ్ పేజీకి లింక్ ఉంది. ClickFix బాధితుడిని Windows Run డైలాగ్ లేదా PowerShell టెర్మినల్ ద్వారా కమాండ్‌ను అమలు చేయమని మోసగిస్తుంది, అది MonsterV2ని లాగి అమలు చేయడానికి ఫాలో-ఆన్ PowerShell స్క్రిప్ట్‌ను అమలు చేస్తుంది.

వెబ్ ఇంజెక్షన్లు మరియు నకిలీ CAPTCHA ఓవర్లేలు

ఏప్రిల్ 2025లో కనిపించిన తదనంతర పరిణామాలలో, TA585 హానికరమైన జావాస్క్రిప్ట్ ఇంజెక్షన్ల ద్వారా చట్టబద్ధమైన వెబ్‌సైట్‌లను రాజీ చేయడానికి మారింది. ఆ ఇంజెక్షన్లు నకిలీ CAPTCHA వెరిఫికేషన్ ఓవర్‌లేలను ఉత్పత్తి చేశాయి, ఇవి మళ్ళీ ClickFix ప్రవాహాన్ని ప్రేరేపించాయి మరియు చివరికి మాల్వేర్‌ను డౌన్‌లోడ్ చేసి ప్రారంభించడానికి పవర్‌షెల్ ఆదేశాన్ని ప్రారంభించాయి. జావాస్క్రిప్ట్ ఇంజెక్ట్ మరియు సంబంధిత మౌలిక సదుపాయాలు (ముఖ్యంగా intlspring.com) కూడా Rhadamanthys స్టీలర్‌తో సహా ఇతర స్టీలర్‌ల పంపిణీకి అనుసంధానించబడి ఉన్నాయి.

GitHub దుర్వినియోగం మరియు బోగస్ భద్రతా నోటీసులు

TA585 ప్రచారాల యొక్క మూడవ సెట్ GitHub యొక్క నోటిఫికేషన్ మెకానిక్‌లను దుర్వినియోగం చేసింది: నటుడు బాధితులను నటుల నియంత్రణలో ఉన్న సైట్‌లకు మళ్లించే URLలను కలిగి ఉన్న మోసపూరిత 'భద్రతా' నోటీసులలో GitHub వినియోగదారులను ట్యాగ్ చేశాడు. ఈ నకిలీ GitHub హెచ్చరికలు బాధితులను అదే ClickFix/PowerShell గొలుసులోకి నెట్టడానికి ఉపయోగించే మరొక వెక్టర్.

కోర్‌సెక్‌త్రీ ఫ్రేమ్‌వర్క్ — డెలివరీ బ్యాక్‌బోన్

వెబ్-ఇంజెక్ట్ మరియు నకిలీ-గిట్‌హబ్ యాక్టివిటీ క్లస్టర్‌లు కోర్‌సెక్‌త్రీతో అనుబంధించబడ్డాయి, ఈ ఫ్రేమ్‌వర్క్‌ను పరిశోధకులు 'అధునాతనమైనది'గా వర్ణించారు మరియు ఫిబ్రవరి 2022 నుండి వాడుకలో ఉన్నారు. స్టీలర్ మాల్వేర్‌ను బహుళ ప్రచారాలలో ప్రచారం చేయడానికి కోర్‌సెక్‌త్రీ స్థిరంగా ఉపయోగించబడుతోంది.

MonsterV2 — మూలాలు మరియు వైవిధ్యాలు

MonsterV2 అనేది బహుళ ప్రయోజన ముప్పు: రిమోట్ యాక్సెస్ ట్రోజన్ (RAT), స్టీలర్ మరియు లోడర్. పరిశోధకులు దీనిని మొదట ఫిబ్రవరి 2025లో క్రిమినల్ ఫోరమ్‌లలో ప్రచారం చేయడాన్ని చూశారు. దీనిని 'ఆరోటన్ స్టీలర్' ('ఆటోరన్' యొక్క తప్పు స్పెల్లింగ్) అని కూడా పిలుస్తారు మరియు గతంలో CastleLoader (దీనిని CastleBot అని కూడా పిలుస్తారు) ద్వారా పంపిణీ చేయబడింది. TA585 కార్యాచరణ యొక్క మునుపటి పునరావృత్తులు 2025 ప్రారంభంలో MonsterV2కి పివోట్ చేయడానికి ముందు Lumma Stealerను పంపిణీ చేశాయి.

వాణిజ్య నమూనా మరియు జియోఫెన్సింగ్

MonsterV2 రష్యన్ మాట్లాడే ఆపరేటర్ ద్వారా అమ్ముడవుతుంది. క్రిమినల్ మార్కెట్‌ప్లేస్‌లలో ధర గమనించబడింది: స్టాండర్డ్ ఎడిషన్ నెలకు USD 800 మరియు ఎంటర్‌ప్రైజ్ ఎడిషన్ నెలకు USD 2,000. ఎంటర్‌ప్రైజ్ టైర్‌లో స్టీలర్ + లోడర్, హిడెన్ VNC (HVNC) మరియు క్రోమ్ డెవ్‌టూల్స్ ప్రోటోకాల్ (CDP) మద్దతు ఉన్నాయి. స్టీలర్ భాగం కామన్వెల్త్ ఆఫ్ ఇండిపెండెంట్ స్టేట్స్ (CIS) దేశాలకు సోకకుండా ఉండటానికి కాన్ఫిగర్ చేయబడింది.

ప్యాకింగ్, యాంటీ-విశ్లేషణ మరియు రన్‌టైమ్ ప్రవర్తన

MonsterV2 సాధారణంగా SonicCrypt అనే C++ క్రిప్టర్‌తో ప్యాక్ చేయబడుతుంది. SonicCrypt పేలోడ్‌ను డీక్రిప్ట్ చేయడానికి మరియు లోడ్ చేయడానికి ముందు లేయర్డ్ యాంటీ-ఎనాలిసిస్ తనిఖీలను అందిస్తుంది, డిటెక్షన్ ఎగవేతను అనుమతిస్తుంది. రన్‌టైమ్‌లో పేలోడ్ డీక్రిప్ట్ చేస్తుంది, దానికి అవసరమైన Windows API ఫంక్షన్‌లను పరిష్కరిస్తుంది మరియు ప్రివిలేజ్ ఎలివేషన్‌ను ప్రయత్నిస్తుంది. తర్వాత ఇది ఎంబెడెడ్ కాన్ఫిగరేషన్‌ను డీకోడ్ చేస్తుంది, ఇది దాని కమాండ్-అండ్-కంట్రోల్ (C2)ను ఎలా సంప్రదించాలో మరియు ఏ చర్యలు తీసుకోవాలో నిర్దేశిస్తుంది.

MonsterV2 ఉపయోగించే కాన్ఫిగర్ ఫ్లాగ్‌లలో ఇవి ఉన్నాయి:

• anti_dbg — True అయినప్పుడు, మాల్వేర్ డీబగ్గర్‌లను గుర్తించి తప్పించుకోవడానికి ప్రయత్నిస్తుంది.
• anti_sandbox — True అయినప్పుడు, మాల్వేర్ శాండ్‌బాక్స్ గుర్తింపును ప్రయత్నిస్తుంది మరియు ప్రాథమిక యాంటీ-శాండ్‌బాక్స్ పద్ధతులను ఉపయోగిస్తుంది.
• aurotun — True అయినప్పుడు, మాల్వేర్ నిలకడను స్థాపించడానికి ప్రయత్నిస్తుంది ('Aurotun' పేరుకు అక్షరదోషమే మూలం).
• priviledge_escalation — ట్రూ అయినప్పుడు, మాల్వేర్ హోస్ట్‌పై ప్రత్యేక హక్కులను పెంచడానికి ప్రయత్నిస్తుంది.

నెట్‌వర్కింగ్ మరియు C2 ప్రవర్తన

MonsterV2 దాని C2 ను విజయవంతంగా చేరుకుంటే, అది మొదట పబ్లిక్ సర్వీస్‌ను ప్రశ్నించడం ద్వారా ప్రాథమిక సిస్టమ్ టెలిమెట్రీ మరియు జియోలొకేషన్‌ను పంపుతుంది (పరిశోధకులు api.ipify.org కు అభ్యర్థనలను గమనించారు). C2 ప్రతిస్పందన అమలు చేయడానికి ఆదేశాలను కలిగి ఉంటుంది. కొన్ని పరిశీలించిన ఆపరేషన్లలో, MonsterV2-వదిలేసిన పేలోడ్‌లు ఇతర పేలోడ్‌ల మాదిరిగానే అదే C2 సర్వర్‌ను ఉపయోగించడానికి కాన్ఫిగర్ చేయబడ్డాయి (ఉదాహరణకు, స్టీల్‌సి), అయితే ఆ ఇతర ప్రచారాలు నేరుగా TA585 కు ఆపాదించబడలేదు.

MonsterV2 యొక్క డాక్యుమెంట్ చేయబడిన సామర్థ్యాలు:

తగ్గింపు మరియు గుర్తింపు మార్గదర్శకత్వం

డిఫెండర్లు TA585ని సోషల్ ఇంజనీరింగ్, సైట్ రాజీ మరియు లేయర్డ్ యాంటీ-అనాలిసిస్ టెక్నిక్‌లను మిళితం చేసే సామర్థ్యం గల, నిలువుగా ఇంటిగ్రేటెడ్ ఆపరేటర్‌గా పరిగణించాలి. గుర్తింపు అవకాశాలలో ఇవి ఉన్నాయి: వెబ్ ఆధారిత ప్రవాహాల నుండి ఉద్భవించే అనుమానాస్పద పవర్‌షెల్/రన్ డైలాగ్ యాక్టివిటీని పర్యవేక్షించడం, చట్టబద్ధమైన సైట్‌లలో అసాధారణ జావాస్క్రిప్ట్ ఇంజెక్షన్‌లను గుర్తించడం, ప్రవర్తనా గుర్తింపుల ద్వారా తెలిసిన సోనిక్‌క్రిప్ట్-ప్యాక్డ్ బైనరీలను నిరోధించడం మరియు ఊహించని HVNC/రిమోట్-కంట్రోల్ కనెక్షన్‌లు మరియు ఫైల్ ఎక్స్‌ఫిల్ట్రేషన్ నమూనాలను ఫ్లాగ్ చేయడం. అసాధారణ C2 హోస్ట్‌లకు కమ్యూనికేషన్‌లను పర్యవేక్షించడం మరియు అవుట్‌బౌండ్ డేటా బదిలీలతో కలిపి పబ్లిక్ IP-డిస్కవరీ సేవలకు (ఉదా., api.ipify.org) ప్రశ్నలు కూడా ఇన్ఫెక్షన్‌లను వెలికితీయవచ్చు.

సారాంశం

TA585 అనేది పంపిణీ, డెలివరీ మరియు పేలోడ్ ఆపరేషన్‌పై నియంత్రణను కలిగి ఉండే స్థితిస్థాపక ముప్పు నటుడిని సూచిస్తుంది. ఫిషింగ్, సైట్-స్థాయి జావాస్క్రిప్ట్ ఇంజెక్షన్, నకిలీ CAPTCHA ఓవర్‌లేలు మరియు వాణిజ్య MonsterV2 పేలోడ్ (SonicCryptతో నిండి ఉంది) కలపడం ద్వారా, నటుడు డేటా దొంగతనం మరియు రిమోట్ కంట్రోల్ కోసం నమ్మకమైన, బహుళ-వెక్టర్ సామర్థ్యాన్ని సమీకరించాడు. నటుడి కార్యాచరణ పరిపక్వత మరియు MonsterV2 యొక్క మాడ్యులర్ ఫీచర్ సెట్‌ను దృష్టిలో ఉంచుకుని, సంస్థలు వెబ్-ఆధారిత కమాండ్ లాంచ్‌లు, పవర్‌షెల్ డౌన్‌లోడ్-ఎగ్జిక్యూట్ చైన్‌లు, SonicCrypt-ప్యాక్డ్ బైనరీలు మరియు అనుమానాస్పద HVNC లేదా ఎక్స్‌ఫిల్ట్రేషన్ యాక్టివిటీని గుర్తించడానికి ప్రాధాన్యత ఇవ్వాలి.