Κακόβουλο λογισμικό Quantum Builder

Οι ερευνητές ασφαλείας της Cyble δημοσίευσαν μια νέα έκθεση σχετικά με την άνοδο του κακόβουλου λογισμικού χρησιμοποιώντας αρχεία συντόμευσης .lnk για την παράδοση του τελικού ωφέλιμου φορτίου τους. Ένα από τα σημαντικότερα σημεία της αναφοράς ήταν ένα πρόγραμμα δημιουργίας αρχείων .lnk που ονομάζεται Quantum.

Το Quantum πωλείται σε φόρουμ χάκερ, ως συνδρομητική υπηρεσία ή ως εφάπαξ πληρωμή για χρήση δια βίου. Μια μηνιαία συνδρομή κοστίζει περίπου 190 EUR και μια εφάπαξ αγορά είναι 1500 EUR.

Το κακόβουλο λογισμικό ισχυρίζεται ότι έχει τη δυνατότητα να πλαστογραφήσει οποιαδήποτε νόμιμη επέκταση αρχείου και συνοδεύεται από 300 διαφορετικούς τύπους εικονιδίων. Το διαφημιστικό υλικό που δημοσιεύτηκε από τους δημιουργούς του κακόβουλου λογισμικού υποστηρίζει επίσης ότι η Quantum μπορεί να απορρίψει το τελικό ωφέλιμο φορτίο σε οποιονδήποτε κατάλογο του συστήματος θύματος και να το εκτελέσει είτε κατά την εκκίνηση του συστήματος είτε μετά από προκαθορισμένη καθυστέρηση, χρησιμοποιώντας το Powershell για να εκτελέσει το ωφέλιμο φορτίο με δικαιώματα λογαριασμού διαχειριστή.

Η Cyble επεσήμανε ότι στις προεπιλεγμένες ρυθμίσεις, τα Windows θα αποκρύψουν την επέκταση .lnk, επομένως εάν το όνομα αρχείου είναι "document.txt.lnk", το αρχείο θα εμφανίζεται ως "document.txt". Ωστόσο, αυτό το μικρό κόλπο εξακολουθεί να διατηρεί το μικροσκοπικό εικονίδιο συντόμευσης στο κάτω αριστερό μέρος του εικονιδίου του αρχείου.

Οι ερευνητές βρήκαν επίσης μια πιθανή σχέση μεταξύ του Quantum malware και της ομάδας Lazarus APT. Οι οδηγίες αποσύμπλεξης και ο τρόπος με τον οποίο αρχικοποιούνται οι μεταβλητές ήταν ουσιαστικά οι ίδιοι μεταξύ ενός δείγματος που χρησιμοποιούσε ο Lazarus και ενός δείγματος που χρησιμοποιεί το Quantum builder.