LilithBot
LilithBot là một mối đe dọa phần mềm độc hại mới với một loạt các tính năng đe dọa đang được cung cấp trong một kế hoạch MaaS (Malware-as-a-Service). Mối đe dọa là một phần của các công cụ hacker được cung cấp bởi một nhóm mối đe dọa được theo dõi là Eternity (EternityTeam, Dự án Eternity). Tội phạm mạng đã hoạt động ít nhất kể từ tháng 1 năm 2022 và có liên quan đến 'Nhóm Jester' của Nga. Thông tin chi tiết về LilithBot và các nhà phát triển của nó đã được tiết lộ cho công chúng trong một báo cáo của các nhà nghiên cứu an ninh mạng.
Theo phát hiện của họ, LilithBot đang được cung cấp cho các khách hàng tội phạm mạng tiềm năng thông qua một nhóm Telegram chuyên dụng và có thể được mua bằng cách nhấp vào liên kết dẫn đến một trang web được lưu trữ trên mạng Tor. Trang web hoạt động như một trang chủ cho các sản phẩm của tin tặc Eternity, với công cụ đắt tiền nhất là mối đe dọa ransomware.
Khi nói đến LilithBot, mối đe dọa là một phần mềm độc hại tinh vi kết hợp chức năng của một mạng botnet với chức năng của một người khai thác tiền điện tử, kẻ cắt và kẻ trộm. Các nhà nghiên cứu của Infosec lưu ý rằng LilithBot đã trải qua một số lần lặp lại trong quá trình phát triển của nó, với các lệnh hiện diện trong các phiên bản trước sẽ bị loại bỏ trong các bản phát hành sau. Tuy nhiên, các nhà nghiên cứu cảnh báo rằng các tác nhân đe dọa vẫn có thể thực hiện các chức năng đã bị loại bỏ, nhưng theo cách lén lút.
Khi được kích hoạt trên hệ thống bị nhiễm, mối đe dọa đầu tiên sẽ tự đăng ký dưới dạng bot. Tiếp theo, LilithBot sẽ tự giải mã để thả tệp cấu hình của nó trên thiết bị. Phần mềm độc hại sử dụng cơ chế giải mã của riêng nó để cố gắng ngăn chặn việc bị giải mã theo cách thủ công. Thành phần kẻ đánh cắp của mối đe dọa thu thập thông tin bao gồm lịch sử trình duyệt, cookie và dữ liệu cá nhân, chẳng hạn như hình ảnh. Các tệp thu được sẽ được thêm vào kho lưu trữ ZIP trước khi được gửi đến máy chủ Command-and-Control (C2, C&C) của hoạt động.
LilithBot sử dụng chứng chỉ giả để tăng cơ hội không bị phát hiện. Tuy nhiên, các chứng chỉ được xác định dường như được phát hành bởi 'Microsoft Code Signing PCA 2011' nhưng thiếu xác minh và chữ ký phù hợp.
