Τον Οκτώβριο του 2022, οι ερευνητές της Kaspersky ανακάλυψαν μια εξελισσόμενη εκστρατεία τύπου APT που στόχευε στην περιοχή που επλήγη από τη σύρραξη Ρωσίας-Ουκρανίας. Με τίτλο «CommonMagic», αυτή η εκστρατεία κατασκοπείας λειτουργεί τουλάχιστον από τον Σεπτέμβριο του 2021 χρησιμοποιώντας άγνωστο κακόβουλο λογισμικό για τη συλλογή πληροφοριών από τους στόχους της. Οι στόχοι περιλαμβάνουν οργανισμούς διοίκησης, γεωργίας και μεταφορών που βρίσκονται στις περιοχές Ντονέτσκ, Λουγκάνσκ και Κριμαία.
Οι επιθέσεις εκτελούνται με τη χρήση ενός PowerShell-based backdoor με την ονομασία PowerMagic και ενός νέου κακόβουλου πλαισίου που ονομάζεται CommonMagic. Το τελευταίο έχει τη δυνατότητα να κλέβει αρχεία από συσκευές USB, να συλλέγει δεδομένα και να τα στέλνει στον εισβολέα. Ωστόσο, το δυναμικό της δεν περιορίζεται σε αυτές τις δύο λειτουργίες, καθώς η δομή των πλαισίων επιτρέπει την εισαγωγή επιπλέον κακόβουλων δραστηριοτήτων μέσω νέων κακόβουλων ενοτήτων.
Οι Έλληνες εμφανίζονται σίγουροι για τις γνώσεις τους γύρω από το phishing
Πώς λειτουργεί
Οι επιθέσεις πιθανώς ξεκίνησαν μέσω «spear phishing» ή παρόμοιων μεθόδων όπως υποδεικνύεται από τα επόμενα βήματα στην αλυσίδα μολύνσεων. Οι στόχοι οδηγήθηκαν σε μια διεύθυνση URL, η οποία με τη σειρά της οδήγησε σε ένα αρχείο ZIP που φιλοξενείται σε έναν κακόβουλο server. Το αρχείο περιείχε ένα κακόβουλο αρχείο που ανέπτυξε το backdoor του PowerMagic και ένα φαινομενικά αθώο έγγραφο που είχε σκοπό να παραπλανήσει τα θύματα ώστε να πιστέψουν ότι το περιεχόμενο ήταν νόμιμο. Η Kaspersky ανακάλυψε μια σειρά από τέτοια αρχεία με τίτλους που παραπέμπουν σε διάφορα διατάγματα οργανισμών που σχετίζονται με τις περιοχές.
Μόλις το θύμα κάνει λήψη του αρχείου και κάνει κλικ στη συντόμευση του αρχείου, θα μολυνθεί από το PowerMagic backdoor. Το backdoor λαμβάνει εντολές από έναν απομακρυσμένο φάκελο που βρίσκεται σε μια δημόσια υπηρεσία αποθήκευσης στο cloud, εκτελώντας εντολές που αποστέλλονται από τον server και, στη συνέχεια, αποστέλλει τα αποτελέσματα της εκτέλεσης πίσω στο cloud. Το PowerMagic έχει επίσης ρυθμιστεί στο σύστημα ώστε να εκκινείτε συνεχώς και αυτόματα κατά την ενεργοποίηση της μολυσμένης συσκευής.
Όλοι οι στόχοι του PowerMagic που παρατήρησε η Kaspersky μολύνθηκαν επίσης από ένα αρθρωτό πλαίσιο που ονομάστηκε CommonMagic. Αυτό δείχνει ότι το CommonMagic είναι πιθανό να αναπτυχθεί από το PowerMagic, αν και δεν είναι σαφές από τα διαθέσιμα δεδομένα πώς λαμβάνει χώρα η μόλυνση.
Το πλαίσιο του CommonMagic αποτελείται από πολλές ενότητες. Κάθε λειτουργική ενότητα του πλαισίου είναι ένα εκτελέσιμο αρχείο που εκκινείτε με ξεχωριστή διαδικασία, με δυνατότητα επικοινωνίας μεταξύ των ενοτήτων.
Το πλαίσιο έχει τη δυνατότητα να κλέβει αρχεία από συσκευές USB, καθώς και να λαμβάνει στιγμιότυπα οθόνης κάθε τρία δευτερόλεπτα και να τα στέλνει στον εισβολέα.
Κατά τη στιγμή της σύνταξης της αναφοράς της Kaspersky, δεν υπήρχαν άμεσοι δεσμοί μεταξύ του κώδικα και των δεδομένων που χρησιμοποιούνται σε αυτήν την καμπάνια και άλλων που έχουν εντοπιστεί παλαιότερα. Ωστόσο, δεδομένου ότι η εκστρατεία είναι ακόμη ενεργή και η έρευνα βρίσκεται ακόμη σε εξέλιξη, είναι πιθανό να υπάρξουν περαιτέρω πληροφορίες που θα αποκαλυφθούν από πρόσθετες έρευνες οι οποίες θα μπορέσουν να αποτελέσουν αρωγό στην απόδοση της εκστρατείας σε συγκεκριμένο απειλητικό φορέα. Τα περιορισμένα θύματα και η «θεματολογία» των δολωμάτων δείχνουν ότι οι δράστες ενδέχεται να έχουν ιδιαίτερο ενδιαφέρον για τη γεωπολιτική κατάσταση στην περιοχή αυτή.
Latest News
Πάνω από 24.000 Ακαδημαϊκές Ταυτότητες «κατέβηκαν» στο Gov.gr Wallet
Συνολικά μέχρι σήμερα στο Gov.gr Wallet έχουν εκδοθεί και αποθηκευτεί 2.508.670 δελτία αστυνομικής ταυτότητας,
Η Αpple έχασε το στέμμα της στην Κίνα - Ποιες εταιρείες την ξεπέρασαν σε πωλήσεις
Οι προωθητικές ενέργειας της Apple με καλύτερες τιμές, κατά το πρώτο τρίμηνο, δεν μπόρεσαν να μετριάσουν τον αντίκτυπο του έντονου ανταγωνισμού
Το μεγάλο κόλπο των χάκερς – Ποιες χώρες κάνουν πειραματόζωα για τις επιθέσεις τους
Τι αποκαλύπτει έρευνα σχετικά με τη δράση συμμοριών σε «πεδία δοκιμών»
O CEO του TikTok περνά στην αντεπίθεση - «Δεν φεύγουμε από τις ΗΠΑ»
Η υπογραφή Μπάιντεν στο σχετικό νομοσχέδιο ουσιαστικά ορίζει προθεσμία για την πώληση στις 19 Ιανουαρίου - μία ημέρα πριν από τη λήξη της θητείας του
Η Microsoft μέσω AI κερδίζει μερίδια αγοράς και στο cloud
Τι αναμένεται να δείξουν τα οικονομικά αποτελέσματα των τεχνολογικών κολοσσών των ΗΠΑ
Η Qualcomm μπαίνει και επισήμως στα... χωράφια των Intel και AMD
Η Qualcomm θεωρεί τα X Elite και X Plus άκρως ανταγωνιστικά και απέναντι στα τσιπ M3 της Apple
Υπό ρυθμιστικό έλεγχο στη Βρετανία οι ΑΙ συνεργασίες Microsoft-Amazon
Η Αρχή Ανταγωνισμού και Αγορών της Βρετανίας ζητά από τα ενδιαφερόμενα τρίτα μέρη τις απόψεις τους σχετικά με τις μεγάλες συνεργασίες που συνήψαν η Microsoft και η Amazon με μικρότερες εταιρείες AI
myAUEB: Η νέα εφαρμογή για το κινητό από το ΟΠΑ
Η πρώτη ολοκληρωμένη εφαρμογή κινητού σε ελληνικό ΑΕΙ από το Οικονομικό Πανεπιστήμιο Αθηνών
Σε διπλή μέγγενη από ΗΠΑ και Ευρώπη το TikTok
Ψήφισε και η Γερουσία για αναγκαστική πώληση της εφαρμογής από την κινεζική ByteDance - Έρευνα και από Κομισιόν στο TikTok Lite με φόβους για εθισμό των χρηστών
Η Tesla φτιάχνει πιο πρόσιτα αυτοκίνητα και απογειώνει τις μετοχές της
Τι σχεδιάζει ο Ίλον Μασκ για το επόμενο διάστημα