คอมมอนเมจิค
นักวิจัยของ Infosec สามารถระบุแคมเปญการโจมตีโดยใช้เฟรมเวิร์กมัลแวร์ที่ไม่รู้จักก่อนหน้านี้กับองค์กรจากภาคส่วนสำคัญๆ ในยูเครน ซึ่งแสดงให้เห็นอย่างชัดเจนถึงส่วนที่ใช้งานอยู่ซึ่งสงครามไซเบอร์ยังคงดำเนินต่อไปโดยเป็นส่วนหนึ่งของสงคราม องค์กรเป้าหมายดำเนินงานในภาครัฐบาล เกษตรกรรม และการขนส่ง และตั้งอยู่ในภูมิภาค Donetsk, Lugansk และ Crimea
การโจมตีเหล่านี้เกี่ยวข้องกับเฟรมเวิร์กโมดูลาร์ใหม่ที่เรียกว่า CommonMagic ซึ่งไม่เคยมีมาก่อน เฟรมเวิร์กดังกล่าวได้รับการออกแบบมาเพื่อแทรกซึมและขัดขวางองค์กรเป้าหมาย ซึ่งอาจส่งผลต่อข้อมูลที่ละเอียดอ่อนและขัดขวางโครงสร้างพื้นฐานที่สำคัญ ยังไม่ชัดเจนว่าใครเป็นผู้รับผิดชอบการโจมตีเหล่านี้หรือเป้าหมายสูงสุดของพวกเขาคืออะไร สถานการณ์ยังดำเนินอยู่ และองค์กรต่างๆ ในพื้นที่ที่ได้รับผลกระทบควรดำเนินการเพื่อรักษาความปลอดภัยเครือข่ายและระบบของตนจากภัยคุกคามที่อาจเกิดขึ้น
ห่วงโซ่การโจมตีที่ซับซ้อนส่งมัลแวร์ CommonMagic
นักวิจัยระบุว่าเวกเตอร์ประนีประนอมเริ่มต้นที่แน่นอนนั้นไม่ชัดเจน อย่างไรก็ตาม รายละเอียดของการโจมตีขั้นต่อไประบุว่าผู้คุกคามอาจใช้ฟิชชิงแบบสเปียร์หรือเทคนิคที่คล้ายกัน
การโจมตีเป็นไปตามรูปแบบเฉพาะที่มี URL ที่เป็นอันตรายแสดงต่อเหยื่อและถูกใช้เพื่อนำพวกเขาไปยังไฟล์ ZIP ซึ่งโฮสต์บนเว็บเซิร์ฟเวอร์ที่ถูกบุกรุก เมื่อเปิดไฟล์ ZIP ที่ส่งมา จะมีเอกสารล่อและไฟล์ LNK ที่เป็นอันตราย ในระยะต่อไปของการโจมตี แบ็คดอร์ชื่อ PowerMagic จะถูกปรับใช้กับอุปกรณ์ที่ถูกเจาะ ประตูหลังช่วยให้ผู้โจมตีสามารถเข้าถึงคอมพิวเตอร์ของเหยื่อและดำเนินกิจกรรมที่เป็นอันตรายต่างๆ ได้ แต่จุดประสงค์หลักของมันคือการดึงข้อมูลและปรับใช้เฟรมเวิร์กมัลแวร์ CommonMagic ซึ่งเป็นซอฟต์แวร์ที่เป็นอันตรายเฉพาะทาง
CommonMagic - กรอบการคุกคามที่มองไม่เห็นก่อนหน้านี้
เหยื่อทั้งหมดที่ได้รับผลกระทบจากมัลแวร์ PowerMagic ถูกค้นพบว่าติดไวรัสด้วยเฟรมเวิร์กอันตรายที่ซับซ้อนและซับซ้อนกว่ามาก ซึ่งได้รับการขนานนามว่า CommonMagic CommonMagic ประกอบด้วยโมดูลปฏิบัติการต่างๆ ซึ่งทั้งหมดถูกจัดเก็บไว้ในไดเร็กทอรีที่ C:\ProgramData\Command แต่ละโมดูลเริ่มต้นเป็นไฟล์เรียกทำงานอิสระและสื่อสารกับโมดูลอื่นๆ ผ่านไพพ์ที่มีชื่อ โมดูลได้รับการออกแบบมาโดยเฉพาะสำหรับการสื่อสารกับเซิร์ฟเวอร์ Command and Control (C&C) การเข้ารหัสและถอดรหัสการรับส่งข้อมูล C&C และการดำเนินการที่เป็นอันตรายต่างๆ
โมดูล 2 โมดูลที่ค้นพบจนถึงปัจจุบันมีความสามารถในการจับภาพหน้าจอในช่วงเวลา 3 วินาที และดึงไฟล์ที่สนใจจากอุปกรณ์ USB ใดๆ ที่เชื่อมต่ออยู่ เฟรมเวิร์กใช้โฟลเดอร์ระยะไกลของ OneDrive เพื่อส่งข้อมูล และข้อมูลใดๆ ที่แลกเปลี่ยนระหว่างผู้โจมตีและเหยื่อผ่าน OneDrive จะถูกเข้ารหัสโดยใช้ไลบรารีโอเพ่นซอร์ส RC5Simple
