RUBYCARP Botnet tilskrevet rumænsk trusselskuespiller
En cybertrusselsgruppe, der mistænkes for at være af rumænsk oprindelse, kendt som RUBYCARP, er blevet observeret i drift af et vedvarende botnet for at engagere sig i forskellige ulovlige aktiviteter, herunder kryptomining, distribuerede denial-of-service (DDoS)-angreb og phishing-ordninger.
Denne gruppe, der menes at have været aktiv i mindst et årti, bruger botnettet primært til økonomisk vinding, som rapporteret af Sysdig og delt med The Hacker News. Deres modus operandi involverer at installere et botnet gennem en række offentlige udnyttelser og brute-force-taktikker og kommunikere gennem både offentlige og private IRC-netværk.
Beviser tyder på, at RUBYCARP kan overlappe med en anden trusselenhed, der spores af det albanske cybersikkerhedsfirma Alphatechs, identificeret som Outlaw. Outlaw har en historie med at engagere sig i kryptomining og brute-force-angreb, men har for nylig flyttet fokus mod phishing- og spear-phishing-kampagner.
RUBYCARP fokuserer på phishing som indledende angrebsvektor
Disse phishing-bestræbelser har til formål at narre ofre til at afsløre følsomme oplysninger såsom login-legitimationsoplysninger eller økonomiske data, ifølge sikkerhedsforsker Brenton Isufi.
Et bemærkelsesværdigt aspekt af RUBYCARPs metoder er deres brug af ShellBot (også kendt som PerlBot) malware til at infiltrere målmiljøer. De udnytter også sårbarheder i Laravel Framework, en taktik deles med andre trusselsaktører som AndroxGh0st.
For at udvide deres botnets rækkevidde er RUBYCARP blevet observeret kompromittere WordPress-websteder ved at bruge almindelige brugernavn-adgangskode-kombinationer. Når først adgang er opnået, installerer de en bagdør baseret på den populære Perl ShellBot, der forbinder ofrets server til en Internet Relay Chat (IRC) server, der fungerer som kommando-og-kontrol.
Botnettet, der anslås at omfatte over 600 værter, er stærkt afhængig af IRC til kommunikation og koordinering af kryptominekampagner. Derudover kommunikerer medlemmer af gruppen gennem en Undernet IRC-kanal ved navn #cristi og bruger et massescannerværktøj til at identificere potentielle nye værter.
RUBYCARPs fremkomst i cybertrussellandskabet understreger deres dygtighed til at udnytte botnettet til forskellige ulovlige aktiviteter, herunder kryptomining og phishing-operationer, der har til formål at stjæle følsomme oplysninger såsom kreditkortnumre.
