KamiKakaBot cible les organes gouvernementaux asiatiques
En février 2023, une série de logiciels malveillants connus sous le nom de KamiKakaBot ont été découverts par des chercheurs d'EclecticIQ.
Il a été découvert que ces instances de logiciels malveillants ciblaient des institutions gouvernementales dans les pays de l'ANASE. Il a été observé que les attaques qui ont eu lieu en février étaient similaires à celles signalées par Group-IB en janvier 2023, où les acteurs de la menace ont utilisé des images ISO pour fournir KamiKakaBot via la technique de chargement latéral de DLL. Cependant, lors de la campagne de février, la routine d'obscurcissement a été améliorée pour mieux échapper aux mesures anti-malware. En identifiant de multiples chevauchements, les analystes d'EclecticIQ ont pu attribuer les attaques au groupe Dark Pink APT, actif dans la région de l'ANASE.
Le groupe Dark Pink aurait commencé ses activités à la mi-2021 et a augmenté son activité en 2022. La fonction principale de KamiKakaBot est de voler des données stockées dans les navigateurs Web, telles que les informations d'identification enregistrées, l'historique de navigation et les cookies. Les développeurs de KamiKakaBot utilisent diverses techniques pour ne pas être détectés lors de l'exécution d'actions malveillantes sur des appareils infectés, tels que les binaires Living-off-the-Land (LOLBIN) comme MsBuild.exe.
Méthodes de distribution pour KamiKaka et mode de fonctionnement
Les e-mails de phishing sont utilisés pour distribuer KamiKakaBot, qui se présente sous la forme d'une pièce jointe de fichier ISO malveillante. Ce fichier contient un WinWord.exe légitime signé par Microsoft, qui est exploité pour la technique de chargement latéral de DLL. Lorsque l'utilisateur clique sur WinWord.exe, le chargeur KamiKakaBot (MSVCR100.dll) situé dans le même dossier que WinWord est automatiquement chargé en mémoire et exécuté.
Le fichier ISO malveillant contient également un document Word leurre avec une section cryptée codée XOR. Le chargeur KamiKakaBot utilise cette section pour déchiffrer le contenu encodé XOR du fichier leurre, puis écrit la charge utile XML déchiffrée de KamiKakaBot sur le disque (C:\Windows\temp) et l'exécute via un binaire vivant hors du pays, MsBuild.exe.
KamiKakaBot est capable d'extraire des informations sensibles des navigateurs Web Chrome, MS Edge et Firefox, et les données volées sont compressées au format ZIP et envoyées au canal de bot Telegram des attaquants. Après l'infection initiale, l'attaquant peut mettre à niveau le logiciel malveillant ou exécuter du code à distance sur l'appareil ciblé, ce qui permet d'autres activités de post-exploitation. Toutes les communications entre le logiciel malveillant et le centre de commande et de contrôle sont effectuées via un bot Telegram contrôlé par l'auteur de la menace.
