DoppelDridex wird von finanziell motivierten Schauspielern verwendet
DoppelDridex ist ein eigenartiges Malware-Sample, das durch mehrere Phishing-Kampagnen aktiv verbreitet wird. Die Kriminellen verwenden eine modifizierte Version der Dridex-Malware, um zusätzliche Nutzlasten bereitzustellen – wie das Cobalt Strike Beacon und die Grief Ransomware. Wie der Name schon sagt, ist die DoppelPaymer-Bande an diesem Projekt beteiligt. Sie stehen auch hinter der Grief Ransomware, einer umbenannten Version der berüchtigten DoppelPaymer Ransomware.
Die Kriminellen missbrauchen legitime Dienste, um die bösartigen Dateien zu hosten, die sie an die Opfer liefern. In allen aktuellen Kampagnen hosten sie bösartige Excel-Dateien auf den Diensten Discordapp.com und Files.slack.com. Diese legitimen Domänen werden von den Slack- und Discord-Anwendungen verwendet, um Dateien zwischen Benutzern zu teilen. Sie verwenden sie jedoch nur zum Hosten von Dateien – die Täter nähern sich den Opfern immer noch über Phishing-E-Mail-Nachrichten.
DoppelDridex könnte seine Angriffe mit der Grief Ransomware beenden
Der Einsatz der DoppelDridex-Malware wird einer Bande zugeschrieben, die unter dem Pseudonym DoppelSpider verfolgt wird. Sie haben sich in letzter Zeit stark auf die Verwendung von Discord und Slack konzentriert, um ihre Malware zu verbreiten. Die Verwendung legitimer Dienste zum Hosten von Nutzlasten ist für Cyberkriminelle aus mehreren Gründen nicht ungewöhnlich:
- Benutzer neigen dazu, vertrauten Domänen mehr zu vertrauen.
- Die meisten Firewall- und Sicherheitskonfigurationen blockieren keine Inhalte von Discord und Slack.
Unnötig zu erwähnen, dass die DoppelSpider-Gang finanziell motiviert ist. Sie verwenden die anfängliche Nutzlast, um sensible Daten des Opfers zu sammeln, setzen jedoch häufig auch sekundäre Implantate ein, um mehr Kontrolle zu erhalten. Derzeit sieht es so aus, als ob die Grief Ransomware die letzte Nutzlast ist, mit der sie von ihren Angriffen profitieren.
Denken Sie daran, Dateien, die auf bekannten Domänen gehostet werden, nicht automatisch zu vertrauen – führen Sie sie immer zuerst durch einen Sicherheitsscanner. Da die Kriminellen immer noch auf E-Mail-Phishing setzen, sollten Sie beim Umgang mit neuen und unbekannten E-Mails vorsichtig sein, insbesondere wenn der Absender zufällig erscheint. Folgen Sie nicht ihren Links und zeigen Sie ihre Anhänge nicht an.
