Hackers gebruiken cloudservices om Nanocore-, Netwire- en AsyncRAT-malware te verspreiden

troyanos de acceso remoto Nachrichten

Bedreigingsactoren nemen actief openbare cloudservices van Amazon en Microsoft op in hun kwaadaardige campagnes om commodity-trojans voor externe toegang (RAT’s) te leveren, zoals Nanocore, Netwire, en AsyncRAT om gevoelige informatie van gecompromitteerde systemen over te hevelen.

De spear-phishing-aanvallen, die in oktober 2021 begonnen, waren voornamelijk gericht op entiteiten in de VS, Canada, Italië en Singapore, zeiden onderzoekers van Cisco Talos in een verslag doen van gedeeld met The Hacker News.

Het gebruik van bestaande legitieme infrastructuur om inbraken te vergemakkelijken, wordt steeds meer onderdeel van het speelboek van een aanvaller, omdat het de noodzaak wegneemt om hun eigen servers te hosten, om nog maar te zwijgen van het gebruik als een verhulmechanisme om detectie door beveiligingsoplossingen te omzeilen.

In de afgelopen maanden hebben samenwerkings- en communicatietools zoals Discord, Slack en Telegram een ​​plaats gevonden in veel infectieketens om gegevens van de slachtoffermachines te verkrijgen en te exfiltreren. In dat licht bezien is misbruik van cloudplatforms een tactische uitbreiding die aanvallers kunnen misbruiken als eerste stap in een groot aantal netwerken.

“Er zijn verschillende interessante aspecten aan deze specifieke campagne en het wijst op een aantal dingen die we vaak zien gebruikt en misbruikt door kwaadwillende actoren”, vertelde Nick Biasini, hoofd outreach bij Cisco Talos, via e-mail aan The Hacker News.

“Van het gebruik van cloudinfrastructuur om malware te hosten tot misbruik van dynamische DNS voor command-and-control (C2)-activiteiten. Bovendien wijzen de lagen van verduistering op de huidige staat van criminele cyberactiviteiten, waar veel analyse nodig is om ga naar de uiteindelijke lading en intenties van de aanval.”

Zoals met veel van dit soort campagnes, begint het allemaal met een phishing-e-mail met factuurthema die een ZIP-bestandsbijlage bevat die, wanneer geopend, een aanvalsreeks activeert die de volgende fase-payloads downloadt die worden gehost op een Azure Cloud-gebaseerde Windows-server of een AWS EC2-instantie, uiteindelijk culminerend in de inzet van verschillende RAT’s, waaronder AsyncRAT, Nanocore en Netwire.

De trojans kunnen, eenmaal geïnstalleerd, niet alleen worden gebruikt om ongeautoriseerde toegang te krijgen tot vertrouwelijke gegevens, maar kunnen ook door de aanvallers worden gebruikt om geld te verdienen met de toegang tot de gecompromitteerde systemen voor verdere vervolgaanvallen door ransomware-filialen en andere cybercriminaliteitsgroepen.

Ook opmerkelijk is het gebruik van DuckDNS, een gratis dynamische DNS-service, om kwaadaardige subdomeinen te creëren om malware te leveren, waarbij sommige van de door actoren gecontroleerde kwaadaardige subdomeinen worden omgezet naar de downloadserver op Azure Cloud, terwijl andere servers worden gebruikt als C2 voor de RAT-payloads .

“Kwaadwillende actoren zijn opportunistisch en zullen altijd op zoek zijn naar nieuwe en inventieve manieren om zowel malware te hosten als slachtoffers te infecteren”, zei Biasini. “Het misbruik van platforms zoals Slack en Discord en het gerelateerde cloudmisbruik maken deel uit van dit patroon. We vinden ook vaak dat gecompromitteerde websites worden gebruikt om malware en andere infrastructuur te hosten en wijzen er nogmaals op dat deze tegenstanders alle middelen om slachtoffers te compromitteren.”

David
Rate author
Hackarizona