Το ShellClient Malware στοχεύει στην αεροδιαστημική βιομηχανία από το 2018

Το ShellClient Malware είναι ένα νέο Trojan Remote Access που, ωστόσο, χρησιμοποιείται για πάνω από δύο χρόνια. Οι εγκληματίες πίσω από αυτό εντοπίζονται με το ψευδώνυμο MalKamak και η συγκεκριμένη εκστρατεία επικεντρώνεται στην κατασκοπεία. Οι κακόβουλοι φορείς απειλής ακολούθησαν μεγάλες εταιρείες και ιδρύματα που δραστηριοποιούνται στην Ευρώπη, τη Ρωσία, τις Ηνωμένες Πολιτείες και τη Μέση Ανατολή. Το θεαματικό με το ShellClient Malware είναι ότι λόγω της χαμηλής δραστηριότητας και του έξυπνου σχεδιασμού του, κατάφερε να παραμείνει κάτω από το ραντάρ για πάνω από δύο χρόνια προτού τελικά αναγνωριστεί και αναλυθεί. Φαίνεται ότι οι πρωταρχικοί στόχοι του ShellClient Malware ήταν τμήματα της βιομηχανίας αεροδιαστημικών και τηλεπικοινωνιών.

Το κακόβουλο λογισμικό ShellClient υπέστη σημαντικές αλλαγές σε 2 χρόνια

Η τελευταία έκδοση του ShellClient Malware χρονολογείται από τον Μάιο του 2021 - αυτό είναι ένα σίγουρο σημάδι ότι οι προγραμματιστές του κυκλοφορούν τακτικά ενημερώσεις για το ωφέλιμο φορτίο τους. Φυσικά, όλες οι ενεργές παρουσίες του κακόβουλου λογισμικού ενημερώθηκαν αυτόματα στην πιο πρόσφατη διαθέσιμη έκδοση. Ένα άλλο περίεργο πράγμα σε αυτήν την καμπάνια είναι ότι οι χάκερ συγκάλυψαν το κακόβουλο λογισμικό ως τη νόμιμη διαδικασία RuntimeBroker.exe. Η τελευταία διαδικασία είναι ένα νόμιμο στοιχείο των Windows που χειρίζεται δικαιώματα εφαρμογής Microsoft Store.

Ένα άλλο σημαντικό πράγμα που πρέπει να προσθέσετε σχετικά με το ShellClient Malware είναι ότι η αρχική του παραλλαγή ήταν πολύ πιο μινιμαλιστική. Στην πραγματικότητα, λειτουργούσε ως βασικό αντίστροφο κέλυφος που επέτρεπε στους επιτιθέμενους να εκτελούν απομακρυσμένες εντολές. Ωστόσο, σε διάστημα δύο ετών, υπέστη σημαντικές αλλαγές μετατρέποντάς το σε ένα πλήρες, αρθρωτό Τροικό απομακρυσμένης πρόσβασης.

Δεδομένου ότι η κατασκοπεία είναι ο κύριος στόχος αυτής της απειλής, τα κύρια χαρακτηριστικά της περιλαμβάνουν την εκτέλεση απομακρυσμένου κώδικα και την απομάκρυνση δεδομένων. Όπως αναφέρθηκε παραπάνω, διαθέτει δυνατότητα αυτόματης ενημέρωσης και αρθρωτή δομή, επιτρέποντας έτσι στους χειριστές να διαχειρίζονται εύκολα το εμφύτευμα.