Nhóm tấn công DEV0569 thay đổi chiến thuật, sử dụng Google Ads để phát tán mã độc
|
Người dùng được nhóm gửi các liên kết giả mạo là Microsoft Teams, Zoom, Adobe Flash Player, AnyDesk hoặc LogMeln trong khoảng thời gian từ tháng 8 đến tháng 10 năm 2022 bằng cách sử dụng các cuộc tấn công quảng cáo độc hại Show Nhóm sử dụng tải trọng là BatLoader, vô hiệu hóa phần mềm chống vi-rút trên máy được nhắm mục tiêu và loại bỏ tải trọng giai đoạn tiếp theo (thông qua các lệnh PowerShell), bao gồm phần mềm tống tiền Royal và Cobalt Strike Beacon Nhóm bắt đầu gửi các tải trọng đánh cắp thông tin bằng cách sử dụng các biểu mẫu liên hệ trên các trang web mở trông giống như các tổ chức tài chính quốc gia vào tháng 9 năm 2022 Ngoài các tệp có trình cài đặt, nhóm còn sử dụng các định dạng được gọi là Đĩa cứng ảo (VHD) và khi người dùng phản hồi qua email, họ đã nhận được một thông báo có liên kết độc hại chứa BatLoader, được lưu trữ trên kho lưu trữ GitHub và OneDrive Để tránh bị phát hiện, các chiến dịch quảng cáo độc hại DEV-0569 sử dụng Google Ads sẽ cùng tồn tại với lưu lượng truy cập trang web thông thường bắt đầu từ cuối tháng 10 Các tổ chức nên triển khai các quy tắc luồng email để hạn chế dải IP và cấp độ tên miền được phép lưu hành trong tổ chức nhằm ngăn chặn các cuộc tấn công như vậy. DEV-0569 đang sử dụng các dịch vụ hợp pháp như Google Ads, GitHub và OneDrive cũng như các công cụ như Keitaro để che giấu bản thân Trung tâm Giám sát an ninh mạng quốc gia NCSC, Cục An toàn thông tin, Bộ Thông tin và Truyền thông đề nghị các doanh nghiệp, tổ chức cần thường xuyên cập nhật thông tin trước cảnh báo trên Các nhà nghiên cứu của Microsoft đã xác định được một cụm hoạt động đe dọa mới mà họ đang theo dõi là DEV-0569. Hơn nữa, kể từ tháng 8, nhóm này đã chuyển sang một số chiến thuật phân phối và chiến thuật gần đây nhất là lạm dụng Google Ads để phân phối BatLoader Theo báo cáo, các cuộc tấn công của DEV-0569 đang phát triển liên tục, khi nhóm này đang cải thiện các chiến thuật trốn tránh, phân phối tải trọng sau khi xâm nhập và tạo điều kiện cho ransomware. Hơn nữa, nhóm đã sử dụng công cụ nguồn mở Nsudo để vô hiệu hóa các giải pháp chống vi-rút trên máy được nhắm mục tiêu Những gì đã được tiết lộ?
DEV-0569 có thể đã sử dụng ZLoader làm phương thức phân phối vào đầu năm nay và sau đó chuyển sang BatLoader sau sự cố ZLoader vào tháng 4 Các nhà nghiên cứu của Microsoft đã xác định được một cụm hoạt động đe dọa mới mà họ đang theo dõi là DEV-0569. Hơn nữa, kể từ tháng 8, nhóm này đã chuyển sang một số chiến thuật phân phối và chiến thuật gần đây nhất là lạm dụng Google Ads để phân phối BatLoader Điều gì đã được tiết lộ?Theo báo cáo, các cuộc tấn công của DEV-0569 đang phát triển liên tục, khi nhóm này đang cải thiện các chiến thuật trốn tránh, phân phối tải trọng sau khi xâm nhập và tạo điều kiện cho ransomware.
Hơn nữa, nhóm đã sử dụng công cụ nguồn mở Nsudo để vô hiệu hóa các giải pháp chống vi-rút trên máy được nhắm mục tiêu Thay đổi phương thức giao hàngDEV-0569 có thể đã sử dụng ZLoader làm phương thức phân phối vào đầu năm nay và sau đó chuyển sang BatLoader sau sự cố ZLoader vào tháng 4
ghi chú kết luậnDEV-0569 đang lạm dụng các dịch vụ chính hãng như Google Ads, GitHub và OneDrive và các công cụ như Keitaro để ẩn mặt. Để giữ an toàn khỏi các cuộc tấn công như vậy, các tổ chức nên xác định các chính sách email nghiêm ngặt và triển khai các quy tắc luồng thư để hạn chế dải IP và cấp độ tên miền được phép lưu hành trong tổ chức Chúng tôi sử dụng cookie trên trang web của mình để cung cấp cho bạn trải nghiệm phù hợp nhất bằng cách ghi nhớ các tùy chọn của bạn và các lượt truy cập lặp lại. Bằng cách nhấp vào “Chấp nhận tất cả”, bạn đồng ý với việc sử dụng TẤT CẢ các cookie. Tuy nhiên, bạn có thể truy cập "Cài đặt cookie" để cung cấp sự đồng ý có kiểm soátMicrosoft cho biết DEV-0569 hiện đang đẩy Royal ransomware dưới dạng tải trọng hậu thỏa hiệp, bên cạnh những kẻ đánh cắp thông tin và công cụ quản lý từ xa Sumeet Wadhwani Asst. Biên tập viên, Spiceworks Ziff Davis Ngày 22 tháng 11 năm 2022 Microsoft gần đây đã cảnh báo rằng một tác nhân đe dọa đã biết đã cập nhật các cách độc hại bằng cách kết hợp Quảng cáo Google vào hoạt động của mình. Bên cạnh quảng cáo độc hại trên blog và diễn đàn, DEV-0569, một nhóm đe dọa mà Microsoft đã theo dõi từ tháng 8 năm 2022, hiện đang tận dụng Google Ads để phân phối tải trọng phần mềm độc hại, bao gồm cả một chủng ransomware mới Microsoft đã quan sát thấy các bản nâng cấp cho chiến dịch của DEV-0569 vào tháng 10 năm 2022, một vài tháng sau khi xác định quảng cáo độc hại thông qua các liên kết lừa đảo hoặc các bản cập nhật nhúng được gửi trong thư rác . Các liên kết và bản cập nhật này đã chuyển hướng nạn nhân đến BATLOADER, một trình tải xuống phần mềm độc hại được ngụy trang dưới dạng trình cài đặt phần mềm. Được lưu trữ trên miền của các tác nhân đe dọa, BATLOADER lừa người dùng tin rằng đây là trình tải xuống hợp pháp cho các ứng dụng như TeamViewer, Adobe Flash Player, Zoom và AnyDesk cũng như các kho lưu trữ phần mềm từ GitHub và OneDrive Thay vì phần mềm hợp pháp, DEV-0569 đẩy các tải trọng hậu thỏa hiệp như kẻ đánh cắp thông tin hoặc công cụ quản lý từ xa để đạt được sự bền bỉ trong mạng mục tiêu và vô hiệu hóa các sản phẩm chống vi-rút bằng công cụ mã nguồn mở NSudo Tuy nhiên, Microsoft cho biết DEV-0569 hiện đang phân phối phần mềm tống tiền Royal tương đối mới kể từ ít nhất là tháng 9 năm 2022. Ngoài ra, nhóm đe dọa hiện là Quảng cáo Google cho quảng cáo độc hại bí mật Là một kỹ thuật trốn tránh phòng thủ bổ sung, DEV-0569, giống như những kẻ điều hành phần mềm độc hại IceID, hiện đang sử dụng các biểu mẫu liên hệ trên trang web của các tổ chức được nhắm mục tiêu để cung cấp các liên kết lừa đảo vì chúng có thể giúp vượt qua các biện pháp bảo vệ dựa trên email Microsoft lưu ý: “Các cuộc tấn công DEV-0569 được quan sát cho thấy một mô hình đổi mới liên tục, với sự kết hợp thường xuyên của các kỹ thuật khám phá mới, né tránh phòng thủ và các tải trọng hậu xâm nhập khác nhau, bên cạnh việc tăng khả năng tạo điều kiện cho ransomware,” Microsoft lưu ý “Những phương pháp này cho phép nhóm có khả năng đạt được nhiều mục tiêu hơn và cuối cùng đạt được mục tiêu của họ là triển khai các tải trọng sau thỏa hiệp khác nhau. Hoạt động DEV-0569 sử dụng các tệp nhị phân đã ký và phân phối tải trọng phần mềm độc hại được mã hóa. ” Xem thêm. 250 U. Các trang web dựa trên S, bao gồm cả các hãng thông tấn, bị nhiễm mã độc TA569 làm ảnh hưởng đến chuỗi cung ứng quảng cáo Chuỗi lây nhiễm DEV-0569 . Nguồn. Microsoft Royal ransomware là một chủng mới với các hoạt động tư nhân. Nó không hoạt động theo mô hình ransomware-as-a-service, gần đây có cơ chế mã hóa riêng và yêu cầu bất kỳ nơi nào từ 250.000 đến hơn 2 triệu đô la tiền chuộc khi nạn nhân thành công Để biết thêm chi tiết về phần mềm tống tiền Royal, hãy tham khảo phân tích kỹ thuật của công ty tình báo mối đe dọa mạng SecurityScorecard. “DEV-0569 có thể sẽ tiếp tục dựa vào quảng cáo độc hại và lừa đảo để phân phối tải trọng phần mềm độc hại,” Microsoft tiếp tục. “Vì sơ đồ lừa đảo của DEV-0569 lạm dụng các dịch vụ hợp pháp, nên các tổ chức cũng có thể tận dụng các quy tắc luồng thư để nắm bắt các từ khóa đáng ngờ hoặc xem xét các ngoại lệ phổ biến, chẳng hạn như các trường hợp liên quan đến dải IP và danh sách cho phép cấp miền. ” Hãy cho chúng tôi biết nếu bạn thích đọc tin tức này trên LinkedIn, Twitter hoặc Facebook. chúng tôi rất mong nhận được hồi âm từ bạn |
