În ultima perioadă, la nivelul Directoratului Național de Securitate Cibernetică (DNSC) a fost identificat un nou val de atacuri sofisticate la nivelul spațiului cibernetic național. Atacatorii transmit un e-mail cu subiect „AVERTISMENT ÎNCĂLCARE A DREPTURILOR DE PROPRIETATE INTELECTUALĂ”, pretinzând că expeditorul este o firmă de avocatură, in corpul mesajului se găsește un link scurt, hXXps://tr[.]ee/ABudhB, care operează mai multe redirecționări:
hxxps://tr[.]ee/ABudhB
↳ hxxps://goo[.]su/u6zIvs
↳ hxxps://senfedg[.]com?u=hxxps://goo[.]su/P7wvI9s
↳ hxxps://www.mediafire[.]com/file/cr1i3xf6f17576n/Verdikto+katar+o+rodipe.zip/file
Ultima adresă web facilitează descărcarea unei arhive de tip ZIP, „Verdikto katar o rodipe.zip”, care conține următoarele fișiere:
- „Komentarura katar o rodipe.exe” – PE32 executable (GUI)
- „vcruntime140.dll” – PE32 executable (DLL)
- „version.dll” – PE32 executable (DLL)
- „Document.pdf” – PEM certificate
- „Images.png” – PE32+ executable (GUI) x86-64
La rulare, aplicația de tip malware activează un proces cmd.exe care injectează un cod elaborat în limbajul Python, la nivelul svchost.exe. Acesta încarcă un modul purehvnc prin RegAsm.exe, pentru ca sistemul infectat să poată fi controlat de la distanță.
Procesul RegAsm.exe aplică conexiuni în memorie, la nivelul interfeței Antimalware Scan Interface (AMSI), dezactivând astfel detecția dinamică a codului periculos.
Mecanisme de compromitere și exfiltrare a datelor
Aplicația malware intervine direct în procesele browserului, extrăgând cookie-uri, token-uri de sesiune și acreditări salvate. Aceste informații permit accesul automat și nedetectat la conturi online – fie că vorbim despre servicii de e-commerce, platforme financiare, conturi de email sau rețele de socializare – fără a necesita autentificare suplimentară.
În plus, malware-ul realizează capturi de ecran la intervale regulate sau atunci când sunt executate acțiuni suspecte. De asemenea, sunt colectate automat fișiere sensibile, precum documente juridice, prezentări sau baze de date, care sunt ulterior transmise atacatorilor prin canalul de mesagerie criptat Telegram. Această metodă le oferă o vizibilitate extinsă asupra activității și datelor victimei.
Acces de la distanță și persistență
Componenta pureHVNC instalează un server VNC ascuns pe porturi non-standard (56001–56003), permițând atacatorilor să acceseze desktopul victimei de oriunde din lume. Astfel, aceștia pot efectua mișcări laterale în rețea, pot escalada privilegiile și pot instala noi module malițioase fără a fi detectați ușor de soluțiile tradiționale de securitate.
Mai mult, malware-ul modifică în memorie funcția AmsiScanBuffer din biblioteca Windows dll, determinând-o să returneze rezultate false (benigne), blocând astfel detecția codului rău intenționat de către soluțiile AV/EDR. Utilizarea utilitarului CertUtil pentru decodarea unui payload Base64 ajută la camuflarea suplimentară a componentelor active ale atacului.
Ținte digitale și potențiale pagube
Malware-ul vizează și portofelele de criptomonede, identificând extensiile instalate și exfiltrând cheile private. Astfel, atacatorii pot accesa direct fondurile digitale ale victimei. În plus, prin controlul asupra sistemului, aceștia pot instala ransomware, criptând datele esențiale și solicitând o recompensă pentru recuperarea lor.
Măsuri de protecție și recomandări
Pentru a preveni compromiterea sistemelor informatice și pierderea datelor, se recomandă următoarele bune practici de securitate cibernetică:
- Evitarea deschiderii fișierelor suspecte (.exe, .bat, .zip, .rar, .js etc.) din surse necunoscute.
- Activarea filtrelor de securitate pentru email și blocarea extensiilor periculoase.
- Actualizarea regulată a sistemelor de operare și a aplicațiilor utilizate.
- Segmentarea rețelelor pentru a limita mișcarea laterală a atacatorilor în caz de compromitere.
- Monitorizarea traficului de rețea și activarea alertelor pentru comportamente anormale.
- Instruirea angajaților în recunoașterea mesajelor de tip phishing și a altor tactici de inginerie socială.
- Backup periodic al datelor, stocate într-un mediu izolat, pentru a asigura recuperarea în cazul unui atac ransomware.
- Implementarea soluțiilor de securitate avansate, precum cele de tip Sandbox și DLP (Data Loss Prevention), pentru protecția împotriva pierderii datelor.