EncryptRAT: kibernetinių grėsmių organizacijos, kurias turi stebėti

EncryptHub, finansiškai motyvuota įsilaužimo grupė, tobulino savo požiūrį į kibernetines atakas. Jų naujausia plėtra „EncryptRAT“ yra priemonė, skirta išplėsti jų galimybes, kelianti naujų rūpesčių saugumo specialistams. Kadangi grupė tobulina kenkėjiškų programų pristatymo būdus ir infrastruktūrą, įmonės turi būti informuotos apie jos tikslus ir pasekmes.

Kas yra EncryptRAT?

EncryptRAT yra naujai sukurtas komandų ir valdymo (C2) įrankis, sukurtas EncryptHub, grėsmių veikėjo, žinomo dėl sukčiavimo kampanijų, informacijos vagysčių ir išpirkos reikalaujančių programų diegimo. Šis įrankis leidžia kibernetiniams nusikaltėliams nuotoliniu būdu valdyti užkrėstas sistemas, vykdyti komandas ir pasiekti pavogtus duomenis. Atsižvelgiant į „EncryptHub“ kenkėjiškų programų platinimą per Trojanizuotas programas ir sukčiavimo taktiką, „EncryptRAT“ yra reikšminga jos veiklos pažanga.

„EncryptHub“ atkakliai taikosi į naudotojus, įterpdama kenkėjiškas programas į plačiai naudojamą programinę įrangą. Grupė taip pat naudojo trečiųjų šalių mokėjimo už įdiegimą (PPI) paslaugas, kad padidintų savo pasiekiamumą. Atrodo, kad EncryptRAT yra kitas jų evoliucijos žingsnis, leidžiantis EncryptHub efektyviau centralizuoti ir automatizuoti atakas.

Kokie yra EncryptRAT tikslai?

Atrodo, kad pagrindinis „EncryptHub“ tikslas naudojant „EncryptRAT“ yra didesnė kibernetinių operacijų kontrolė ir pajamų gavimas. Įrankis suteikia užpuolikams galimybę:

• Nuotoliniu būdu valdykite pažeistus įrenginius – EncryptRAT veikia kaip valdymo centras, leidžiantis užpuolikams duoti komandas užkrėstoms sistemoms.
• Surinkite neskelbtinus duomenis – įrankis palengvina prisijungimo kredencialų, slapukų ir kitos vertingos informacijos išgavimą iš aukų įrenginių.
• Platinkite daugiau kenkėjiškų programų – EncryptRAT gali būti naudojamas papildomoms kenkėjiškoms apkrovoms, įskaitant išpirkos reikalaujančias programas arba finansinius Trojos arklius, įdiegti.
• Komercializuoti kibernetines grėsmes – yra požymių, kad „EncryptHub“ gali siekti parduoti „EncryptRAT“ kitiems kibernetiniams nusikaltėliams, taip padidindama savo įtaką pogrindinėje rinkoje.

Kaip veikia EncryptHub

„EncryptHub“ veikia nuo 2024 m. vidurio ir naudoja įvairius socialinės inžinerijos metodus, kad pakenktų savo tikslams. Viena iš pagrindinių jos strategijų apima sukčiavimo kampanijas, kurios apsimeta teisėtomis IT palaikymo komandomis. Aukos dažnai nukreipiamos į apgaulingas svetaines, kuriose jos nesąmoningai pateikia prieigos kredencialus.

Įprastas atakos scenarijus apima šiuos veiksmus:

1. Sukčiavimo sukčiavimo sąranka: „EncryptHub“ nustato netikras svetaines, sukurtas imituoti įmonių prisijungimo portalus.
2. Socialinė inžinerija : grupė susisiekia su taikiniais SMS žinutėmis arba telefono skambučiais, apsimesdama IT darbuotojais ir prašydama vartotojų įvesti kredencialus trikčių šalinimo tikslais.
3. Kredencialų vagystė: kai auka pateikia savo prisijungimo duomenis, EncryptHub įgyja neteisėtą prieigą prie įmonės tinklų.
4. Naudingosios apkrovos diegimas: naudodamas „PowerShell“ scenarijus, „EncryptHub“ įdiegia kenkėjiškas programas, pvz., „Fickle“ , „StealC“ arba „Rhadamanthys“, kad išgautų neskelbtiną informaciją.
5. Išpirkos reikalaujančios programinės įrangos vykdymas: daugeliu atvejų paskutinis etapas apima išpirkos reikalaujančių programų diegimą, reikalavimą sumokėti mainais už užšifruotų failų atkūrimą.

Trojanizuotų programų naudojimas taip pat buvo svarbi EncryptHub platinimo strategijos dalis. Šios pažeistos programos atrodo teisėtos, tačiau jas vykdant slapta įdiegiama kenkėjiška programa. Populiarios programos, kurios buvo naudojamos kaip atakos vektoriai, yra QQ Talk, WeChat, Google Meet ir Palo Alto Global Protect.

Mokėjimo už diegimą paslaugų vaidmuo

Svarbus „EncryptHub“ operacijų elementas yra jo priklausomybė nuo PPI paslaugų, tokių kaip „LabInstalls“. Šios paslaugos leidžia grėsmės subjektams platinti kenkėjiškas programas masiškai, o kainų modeliai svyruoja nuo 10 USD už 100 įdiegimų iki 450 USD už 10 000 įdiegimų. Perduodamas platinimą iš išorės, „EncryptHub“ gali išplėsti savo atakas, nevaldydamas tiesioginių infekcijų sudėtingumo.

Ataskaitos rodo, kad „EncryptHub“ aktyviai bendradarbiauja su PPI paslaugų teikėjais, net palikdamas teigiamus atsiliepimus požeminiuose forumuose. Šis bendradarbiavimas leidžia grupei išplėsti savo pasiekiamumą, tuo pačiu sumažinant veiklos pastangas.

EncryptRAT pasekmės

EncryptRAT atsiradimas išryškina didėjantį kibernetinių grėsmių sudėtingumą. Jei „EncryptHub“ sėkmingai komercializuoja šį įrankį, gali padaugėti kibernetinių atakų keliose pramonės šakose. EncryptRAT pasekmės apima:

• Padidintas atakų automatizavimas – centralizuodamas užkrėstų įrenginių valdymą, EncryptRAT leidžia kibernetiniams nusikaltėliams vykdyti didelio masto atakas su minimaliomis pastangomis.
• Didesnė išpirkos reikalaujančių programų rizika – atsižvelgiant į „EncryptHub“ ryšius su žinomomis išpirkos reikalaujančiomis programomis grupėmis, naujasis įrankis gali supaprastinti išpirkos reikalaujančių programų atakų diegimą.
• Sudėtingesnė socialinė inžinerija – „EncryptHub“ pademonstravo pažangius sukčiavimo būdus, o „EncryptRAT“ gali pagerinti savo galimybes apgauti aukas.
• Didesni finansiniai ir duomenų praradimai – „EncryptRAT“ paveiktos organizacijos gali patirti didelę finansinę žalą dėl išpirkos reikalavimų, duomenų vagysčių ir veiklos sutrikimų.

Kaip organizacijos gali apsisaugoti

Kadangi EncryptHub ir toliau tobulina savo taktiką, įmonės turi imtis aktyvių veiksmų, kad apsisaugotų nuo tokių grėsmių kaip EncryptRAT. Rekomenduojamos saugumo priemonės:

• Daugiafaktorinio autentifikavimo (MFA) stiprinimas – įgyvendinus MFA galima išvengti neteisėtos prieigos, net jei kredencialai yra pažeisti.
• Darbuotojų mokymo tobulinimas – darbuotojai turėtų būti mokomi apie sukčiavimo riziką ir mokomi atpažinti įtartinus prašymus.
• Neįprastos veiklos stebėjimas – organizacijos turėtų įdiegti galutinių taškų aptikimo sprendimus, kad galėtų anksti nustatyti ir sumažinti grėsmes.
• Programų atsisiuntimų ribojimas – programinės įrangos diegimo apribojimas tik iš patikrintų šaltinių gali užkirsti kelią trojaniškoms programoms įsiskverbti į sistemas.
• Reguliarus programinės įrangos atnaujinimas – pataisų valdymas yra būtinas norint užpildyti saugumo spragas, kuriomis gali pasinaudoti kibernetiniai nusikaltėliai.

Paskutinės mintys

EncryptRAT yra aiškus didėjančių EncryptHub galimybių ir ambicijų rodiklis. Sukurdama komandų ir valdymo sistemą, grupė yra pasirengusi padidinti savo kibernetinių atakų efektyvumą ir mastą. Įmonės turi išlikti budrios, diegdamos daugiasluoksnes saugumo priemones, kad atremtų besivystančias grėsmes. Norint sumažinti „EncryptHub“ ir panašių priešininkų kibernetinio saugumo srityje keliamą riziką, labai svarbu būti informuotam ir aktyviam.