Az izraeli entitások elleni támadásokban használt Moneybird Ransomware

Az Agrius, egy iráni hackercsoport, amelyet Pink Sandstormként és korábban Americiumként is ismertek, kifejlesztett egy új típusú zsarolóvírust, Moneybird néven. A CheckPoint kutatói felfedezték ezt a veszélyes kártevőt, ami jelentős változást jelent az Agrius taktikájában, mivel immár izraeli szervezeteket céloznak meg.

Az Agrius korábban végrehajtott pusztító adattörlési támadásokat izraeli entitások ellen, gyakran ransomware-fertőzésnek álcázva ezeket. A C++ nyelven programozott Moneybird fejlesztése bemutatja a csoport bővülő készségeit és folyamatos elkötelezettségét a friss kibereszközök létrehozása iránt.

Legalább 2020 decembere óta az Agrius a dél-afrikai, izraeli és hongkongi gyémántipar megzavarására irányuló behatolásokra vezethető vissza. A múltban a csoport az Apostle nevű .NET-alapú ransomware-t használta, amely később Fantasy-vé fejlődött. A C++ nyelven kódolt Moneybird azonban bemutatja a csoport fejlődő kiberképességeit.

Moneybird – Szaporodás és tevékenység

A Moneybird ransomware művelet az Agrius növekvő technikai szakértelmét és elkötelezettségét mutatja az új kibereszközök fejlesztése iránt. Kifinomult támadási módszertant alkalmaz, amely a nyilvánosan hozzáférhető webszerverek sebezhetőségeinek kihasználásával kezdődik. Ez a kezdeti kihasználás lehetővé teszi egy ASPXSpy web shell telepítését, amely első belépési pontként szolgál a célszervezet hálózatába.

A bejutást követően a web shell kommunikációs csatornaként működik, amely jól ismert eszközöket szállít a mélyreható felderítéshez, az oldalirányú mozgáshoz, a hitelesítő adatok begyűjtéséhez és az érzékeny adatok kiszűréséhez az áldozat környezetében.

Ezt követően a Moneybird ransomware telepítésre kerül a feltört gazdagépen, és kifejezetten az „F:\User Shares” mappában található érzékeny fájlokat célozza meg. A kivégzéskor a zsarolóprogram váltságdíjat hagy maga után, és arra kényszeríti az áldozatokat, hogy 24 órán belül lépjenek kapcsolatba, különben kockáztatják, hogy ellopott adataik nyilvánosan kiszivárogjanak.

A Moneybird az AES-256-ot és a GCM-et használja a titkosításhoz, olyan kifinomult technikát alkalmazva, amely minden fájlhoz egyedi titkosítási kulcsokat generál. A titkosított metaadatok minden fájl végéhez hozzá vannak fűzve, így az adatok visszaállítása és visszafejtése a legtöbb esetben nagy kihívást jelent, ha nem lehetetlen.

Mik azok a haladó állandó fenyegetés szereplői vagy APT-k?

Az Advanced Persistent Threat Actors (APT-k) kifinomult és magasan képzett fenyegető cselekvők vagy hackercsoportok, amelyek hosszú távú, célzott kibertámadásokat hajtanak végre meghatározott szervezetek ellen, gyakran nemzetállamok vagy jó erőforrásokkal rendelkező entitások támogatásával. Az APT-ket fejlett technikáik, kitartásuk és a célzott rendszerekbe való beszivárgási szándékuk és hosszú távú kompromittálási szándékuk jellemzi, gyakran észrevétlenül.

Íme néhány, az APT-kkel kapcsolatos legfontosabb jellemzők és tulajdonságok:

• Speciális technikák: Az APT szereplői fejlett hackelési technikákat alkalmaznak, beleértve a nulladik napi exploitokat, az egyéni rosszindulatú programokat, a rootkiteket és a kifinomult social engineering taktikákat. Folyamatosan fejlesztik módszereiket a biztonsági intézkedések megkerülésére és hozzáférésük fenntartására.
• Kitartás: Az APT-k elkötelezettek céljaik elérése és hosszú távú jelenlét fenntartása mellett a veszélyeztetett rendszerekben. Több belépési pontot is létrehozhatnak, hátsó ajtókat hozhatnak létre, és lopakodó kommunikációs csatornákat használhatnak a kitartás fenntartása érdekében.
• Célzott támadások: Az APT-k meghatározott célpontokra összpontosítanak, például kormányzati szervekre, védelmi vállalkozókra, kritikus infrastruktúrákra, kutatóintézetekre vagy multinacionális vállalatokra. Alapos felderítést hajtanak végre, hogy intelligenciát gyűjtsenek, és a támadásaikat úgy alakítsák ki, hogy kihasználják a célpont infrastruktúráján belüli bizonyos sebezhetőségeket.
• Nemzetállami támogatás: Az APT-ket gyakran nemzetállamokkal vagy államilag támogatott szervezetekkel kapcsolják össze, akik politikai, gazdasági vagy katonai előnyöket keresnek. Jelentős erőforrásokkal, hírszerzési képességekkel és jogi védelemmel rendelkezhetnek, ami lehetővé teszi számukra, hogy kiterjedt és hosszan tartó kampányokat hajtsanak végre.
• Adatok kiszűrése: Az APT-k elsődleges célja értékes adatok kiszűrése, beleértve a szellemi tulajdont, az üzleti titkokat, a minősített információkat vagy a személyes azonosításra alkalmas információkat (PII). Az ellopott adatok felhasználhatók kémkedésre, gazdasági haszonszerzésre, versenyelőnyre vagy jövőbeli kiberműveletekre.
• Titkos műveletek: Az APT-k előnyben részesítik az alacsony profil fenntartását és az észlelés elkerülését. Kifinomult kijátszási technikákat alkalmaznak, például kriminalisztika elleni intézkedéseket, titkosítást és elhomályosítást tevékenységeik elrejtésére és a biztonsági rendszerek kijátszására.

A jól ismert APT-csoportok közé tartozik például az APT29 (más néven Cozy Bear vagy The Dukes), az APT28 (más néven Fancy Bear vagy Sofacy), az Equation Group, a Comment Crew és a Lazarus Group.