Τον Οκτώβριο του 2022, οι ερευνητές της Kaspersky ανακάλυψαν μια εξελισσόμενη εκστρατεία τύπου APT που στόχευε στην περιοχή που επλήγη από τη σύρραξη Ρωσίας-Ουκρανίας. Με τίτλο «CommonMagic», αυτή η εκστρατεία κατασκοπείας λειτουργεί τουλάχιστον από τον Σεπτέμβριο του 2021 χρησιμοποιώντας άγνωστο κακόβουλο λογισμικό για τη συλλογή πληροφοριών από τους στόχους της. Οι στόχοι περιλαμβάνουν οργανισμούς διοίκησης, γεωργίας και μεταφορών που βρίσκονται στις περιοχές Ντονέτσκ, Λουγκάνσκ και Κριμαία.
Οι επιθέσεις εκτελούνται με τη χρήση ενός PowerShell-based backdoor με την ονομασία PowerMagic και ενός νέου κακόβουλου πλαισίου που ονομάζεται CommonMagic. Το τελευταίο έχει τη δυνατότητα να κλέβει αρχεία από συσκευές USB, να συλλέγει δεδομένα και να τα στέλνει στον εισβολέα. Ωστόσο, το δυναμικό της δεν περιορίζεται σε αυτές τις δύο λειτουργίες, καθώς η δομή των πλαισίων επιτρέπει την εισαγωγή επιπλέον κακόβουλων δραστηριοτήτων μέσω νέων κακόβουλων ενοτήτων.
Οι Έλληνες εμφανίζονται σίγουροι για τις γνώσεις τους γύρω από το phishing
Πώς λειτουργεί
Οι επιθέσεις πιθανώς ξεκίνησαν μέσω «spear phishing» ή παρόμοιων μεθόδων όπως υποδεικνύεται από τα επόμενα βήματα στην αλυσίδα μολύνσεων. Οι στόχοι οδηγήθηκαν σε μια διεύθυνση URL, η οποία με τη σειρά της οδήγησε σε ένα αρχείο ZIP που φιλοξενείται σε έναν κακόβουλο server. Το αρχείο περιείχε ένα κακόβουλο αρχείο που ανέπτυξε το backdoor του PowerMagic και ένα φαινομενικά αθώο έγγραφο που είχε σκοπό να παραπλανήσει τα θύματα ώστε να πιστέψουν ότι το περιεχόμενο ήταν νόμιμο. Η Kaspersky ανακάλυψε μια σειρά από τέτοια αρχεία με τίτλους που παραπέμπουν σε διάφορα διατάγματα οργανισμών που σχετίζονται με τις περιοχές.
Μόλις το θύμα κάνει λήψη του αρχείου και κάνει κλικ στη συντόμευση του αρχείου, θα μολυνθεί από το PowerMagic backdoor. Το backdoor λαμβάνει εντολές από έναν απομακρυσμένο φάκελο που βρίσκεται σε μια δημόσια υπηρεσία αποθήκευσης στο cloud, εκτελώντας εντολές που αποστέλλονται από τον server και, στη συνέχεια, αποστέλλει τα αποτελέσματα της εκτέλεσης πίσω στο cloud. Το PowerMagic έχει επίσης ρυθμιστεί στο σύστημα ώστε να εκκινείτε συνεχώς και αυτόματα κατά την ενεργοποίηση της μολυσμένης συσκευής.
Όλοι οι στόχοι του PowerMagic που παρατήρησε η Kaspersky μολύνθηκαν επίσης από ένα αρθρωτό πλαίσιο που ονομάστηκε CommonMagic. Αυτό δείχνει ότι το CommonMagic είναι πιθανό να αναπτυχθεί από το PowerMagic, αν και δεν είναι σαφές από τα διαθέσιμα δεδομένα πώς λαμβάνει χώρα η μόλυνση.
Το πλαίσιο του CommonMagic αποτελείται από πολλές ενότητες. Κάθε λειτουργική ενότητα του πλαισίου είναι ένα εκτελέσιμο αρχείο που εκκινείτε με ξεχωριστή διαδικασία, με δυνατότητα επικοινωνίας μεταξύ των ενοτήτων.
Το πλαίσιο έχει τη δυνατότητα να κλέβει αρχεία από συσκευές USB, καθώς και να λαμβάνει στιγμιότυπα οθόνης κάθε τρία δευτερόλεπτα και να τα στέλνει στον εισβολέα.
Κατά τη στιγμή της σύνταξης της αναφοράς της Kaspersky, δεν υπήρχαν άμεσοι δεσμοί μεταξύ του κώδικα και των δεδομένων που χρησιμοποιούνται σε αυτήν την καμπάνια και άλλων που έχουν εντοπιστεί παλαιότερα. Ωστόσο, δεδομένου ότι η εκστρατεία είναι ακόμη ενεργή και η έρευνα βρίσκεται ακόμη σε εξέλιξη, είναι πιθανό να υπάρξουν περαιτέρω πληροφορίες που θα αποκαλυφθούν από πρόσθετες έρευνες οι οποίες θα μπορέσουν να αποτελέσουν αρωγό στην απόδοση της εκστρατείας σε συγκεκριμένο απειλητικό φορέα. Τα περιορισμένα θύματα και η «θεματολογία» των δολωμάτων δείχνουν ότι οι δράστες ενδέχεται να έχουν ιδιαίτερο ενδιαφέρον για τη γεωπολιτική κατάσταση στην περιοχή αυτή.
Latest News
Ξεπέρασε τις προσδοκίες της Wall Street η Microsoft για έσοδα και κέρδη
Η άνοδος της μετοχής της Microsoft μετά την έναρξη της σημερινής συνεδρίασης αύξησε την χρηματιστηριακή της αξία κατά 128 δισεκατομμύρια δολάρια
«Βλέπει» τα 2 τρισ. δολ. η κεφαλαιοποίηση της Google - «Μοιράζει» κέρδη ο Pichai
Ράλι στην τιμή της μετοχής του τεχνολογικού κολοσσού μετά τα αποτελέσματα πρώτου τριμήνου
Απατεώνες κλέβουν Toncoins από χρήστες του Telegram - Η μέθοδος που χρησιμοποιούν
Θύματα από κάθε γωνιά του κόσμου έχουν στοχοποιηθεί από τους απατεώνες
Η Tesla.... αντιγράφει τις Ford και GM - «Συνταγή» από το παρελθόν για φθηνότερα EV
Το σχέδιο της Tesla για οικονομικά προσιτά αυτοκίνητα
Η ByteDance διαψεύδει φήμες περί πώλησης του TikTok
Παρά την ψήφιση στις ΗΠΑ της νέας νομοθεσίας η μητρική εταιρεία του TikTok δεν σκοπεύει να πουλήσει την εφαρμογή
Κλείνουμε το TikTok στις ΗΠΑ αν αποτύχουν οι νομικές ενέργειες, λέει η ByteDance
Αιτία οι αλγόριθμοι στους οποίους στηρίζεται το TikTok οι θεωρούνται βασικοί για το σύνολο των δραστηριοτήτων της ByteDance
Kέρδη 12 δισ. δολάρια για τη Meta στο πρώτο τρίμηνο
Ζούκερμπεργκ: Θα χρειαστούν χρόνια για να βγάλουμε λεφτά από τη γεννητική τεχνητή νοημοσύνη
Πάνω από 24.000 Ακαδημαϊκές Ταυτότητες «κατέβηκαν» στο Gov.gr Wallet
Συνολικά μέχρι σήμερα στο Gov.gr Wallet έχουν εκδοθεί και αποθηκευτεί 2.508.670 δελτία αστυνομικής ταυτότητας,
Η Αpple έχασε το στέμμα της στην Κίνα - Ποιες εταιρείες την ξεπέρασαν σε πωλήσεις
Οι προωθητικές ενέργειας της Apple με καλύτερες τιμές, κατά το πρώτο τρίμηνο, δεν μπόρεσαν να μετριάσουν τον αντίκτυπο του έντονου ανταγωνισμού
Το μεγάλο κόλπο των χάκερς – Ποιες χώρες κάνουν πειραματόζωα για τις επιθέσεις τους
Τι αποκαλύπτει έρευνα σχετικά με τη δράση συμμοριών σε «πεδία δοκιμών»