CostaRicto APT
CostaRicto là tên được đặt cho một nhóm hacker dường như đang hoạt động như một lính đánh thuê và cung cấp dịch vụ cho thuê của họ. Các hoạt động của nó đã bị phát hiện bởi các chuyên gia infosec tại BlackBerry, những người đã phát hiện ra một chiến dịch gián điệp trên phạm vi rộng. Các nhóm 'tin tặc cho thuê' như vậy đang xuất hiện ngày càng nhiều trong thế giới ngầm của tội phạm mạng vì chúng sở hữu khả năng và công cụ ngang bằng với các nhóm Đe dọa liên tục nâng cao (APT) do nhà nước tài trợ nhưng có thể hoạt động trên phạm vi toàn thế giới trong nhiều lĩnh vực ngành. phù hợp với nhu cầu của khách hàng của họ.
CostaRicto sử dụng một bộ công cụ về các mối đe dọa phần mềm độc hại được xây dựng tùy chỉnh do chính tin tặc tạo ra hoặc được ủy quyền độc quyền. Trong chiến dịch gián điệp mạng, các tin tặc đã triển khai hai loại trình tải tùy thuộc vào kiến trúc của máy tính được nhắm mục tiêu, một loại phần mềm độc hại cửa hậu duy nhất được gọi là SombRAT, HTTP và bộ trì hoãn tải trọng DNS ngược, trình quét cổng 'nmap' và PsExec. Đối với các hệ thống 32-bit, tin tặc sử dụng CostaBricks - một trình tải tùy chỉnh thực hiện cơ chế máy ảo khởi tạo mã bytecode chịu trách nhiệm về mô tả, tải vào bộ nhớ và thực thi tải phần mềm độc hại. Nếu mục tiêu sử dụng hệ thống 64 bit, CostaRicto triển khai một bộ tải khác - mô-đun phun PE phản chiếu của PowerSploit.
Chuỗi tấn công bắt đầu bằng việc sử dụng các thông tin xác thực đã thu thập được thông qua lừa đảo hoặc đơn giản là mua trên dark Web. Sau đó, CostaRicto thiết lập kênh liên lạc với cơ sở hạ tầng Chỉ huy và Kiểm soát (C&C, C2) của chiến dịch, được quản lý thông qua mạng TOR hoặc hệ thống proxy. Để liên lạc trong mạng bị xâm nhập, một hệ thống các đường hầm SSH được tạo ra. Một số tên miền nhất định được phát hiện được mã hóa cứng vào các công cụ phần mềm độc hại của CostaRicto được thiết kế để giả mạo các miền hợp pháp - miền 'sbidb.net' bị hỏng bắt chước miền của Ngân hàng Nhà nước Ấn Độ Bangladesh, là 'sbidb.com.' Một sự thật kỳ lạ có thể là tình cờ là việc CostaRicto sử dụng lại địa chỉ IP đã được quan sát thấy trong một chiến dịch lừa đảo do một nhóm tin tặc khác thực hiện trước đây - tác nhân đe dọa APT được gọi là APT28 .
Là một nhóm tin tặc cung cấp dịch vụ của họ cho khách hàng trả tiền cao nhất, các hoạt động của CostaRicto có thể được truy tìm cho các nạn nhân trên khắp thế giới. Các mục tiêu đã được xác định ở Trung Quốc, Mỹ, Úc, Áo, Hà Lan, Singapore, Pháp, Ấn Độ, Mozambique, Singapore và Bồ Đào Nha. Mô hình duy nhất có thể phỏng đoán là mật độ máy móc bị xâm nhập cao hơn một chút ở khu vực Nam Á.
