Ảnh chụp màn hình Phần mềm độc hại

Phần mềm độc hại Screenshotter là một mối đe dọa tùy chỉnh mới được phát hiện được thiết kế cho mục đích giám sát và đánh cắp dữ liệu. Nhóm tội phạm mạng đứng sau mối đe dọa này được theo dõi là TA886 và nhóm này đang sử dụng công cụ đe dọa để nhắm mục tiêu vào các cá nhân ở Hoa Kỳ và Đức.

Theo các nhà nghiên cứu, phần mềm độc hại Screenshotter được tạo ra để đánh giá các nạn nhân tiềm năng trước khi tung ra một cuộc tấn công toàn diện. Điều này cho phép TA886 xác định liệu phần thưởng tiềm năng từ cuộc tấn công có xứng đáng với nỗ lực hay không. Phần mềm độc hại chụp ảnh màn hình thiết bị của nạn nhân, sau đó có thể được sử dụng để thu thập thông tin về các hoạt động và sở thích của nạn nhân.

Chiến dịch phần mềm độc hại Screenshotter lần đầu tiên được xác định vào tháng 10 năm 2022, nhưng hoạt động của nó đã tăng lên đáng kể vào năm 2023. Điều này cho thấy sự phát triển liên tục của phần mềm độc hại và các cá nhân cần phải cảnh giác và chủ động bảo vệ thiết bị cũng như thông tin cá nhân của mình. Các hoạt động tấn công liên quan đến Screenshotter đang được các nhà nghiên cứu an ninh mạng nhóm lại dưới tên Chiến dịch Screentime.

Chiến dịch tấn công và vectơ lây nhiễm để phân phối phần mềm độc hại Screenshotter

Các mục tiêu của tội phạm mạng được gửi email lừa đảo. Những kẻ tấn công sử dụng một số mồi nhử khác nhau, với một ví dụ là yêu cầu kiểm tra bản trình bày được liên kết. Tuy nhiên, liên kết được cung cấp đã bị xâm phạm và dẫn đến một tệp được vũ khí hóa. Nạn nhân có thể nhận được tệp đính kèm ở dạng tệp Microsoft Publisher không an toàn (.pub), liên kết dẫn đến tệp .pub có macro bị hỏng hoặc tệp PDF bị nhiễm sẽ tải xuống tệp JavaScript khi mở. Việc lây nhiễm phần mềm độc hại được bắt đầu khi người nhận nhấp vào liên kết trong email.

Các chiến dịch Screentime được quan sát đã sử dụng chuỗi lây nhiễm nhiều giai đoạn. Để đảm bảo tính bền vững trên các thiết bị bị vi phạm, trước tiên, các tác nhân đe dọa TA886 đã triển khai một trọng tải có tên WasabiSeed. Tải trọng này đóng vai trò là chỗ đứng để những kẻ tấn công sau đó lây nhiễm phần mềm độc hại Screenshotter vào hệ thống.

Sau khi hệ thống bị nhiễm, phần mềm độc hại Screenshotter bắt đầu chụp ảnh màn hình của màn hình ở định dạng hình ảnh JPG và truyền chúng cho tội phạm mạng. Các ảnh chụp màn hình sau đó được xem xét tỉ mỉ bởi các tác nhân đe dọa, những kẻ sử dụng thông tin thu thập được để quyết định các bước tiếp theo của chúng.