Moneybird Ransomware, naudojama atakuojant Izraelio subjektus

„Agrius“, Irano įsilaužėlių grupė, dar žinoma kaip „Pink Sandstorm“ ir anksčiau buvusi „Americium“, sukūrė naujo tipo išpirkos reikalaujančią programinę įrangą, vadinamą „Moneybird“. „CheckPoint“ tyrėjai aptiko šią pavojingą kenkėjišką programą, kuri reiškia reikšmingą „Agrius“ taktikos pokytį, nes dabar jie taikosi į Izraelio organizacijas.

„Agrius“ anksčiau vykdė destruktyvias Izraelio subjektų duomenų naikinimo atakas, dažnai maskuodamas jas kaip „ransomware“ užkratas. „Moneybird“ kūrimas, užprogramuotas C++ kalba, parodo grupės besiplečiančius įgūdžius ir nuolatinį įsipareigojimą kurti naujus kibernetinius įrankius.

Bent jau nuo 2020 m. gruodžio mėn. „Agrius“ buvo atsekta iki žlugdančių įsibrovimų, nukreiptų į deimantų pramonę Pietų Afrikoje, Izraelyje ir Honkonge. Anksčiau grupė naudojo .NET pagrįstą išpirkos reikalaujančią programinę įrangą, vadinamą Apostle, kuri vėliau išsivystė į „Fantasy“. Tačiau „Moneybird“, užkoduotas C++, demonstruoja besivystančias grupės kibernetines galimybes.

Moneybird – dauginimasis ir veikla

„Moneybird“ išpirkos reikalaujanti programa rodo didėjančią „Agrius“ techninę patirtį ir atsidavimą kuriant naujus kibernetinius įrankius. Jame naudojama sudėtinga atakų metodika, kuri prasideda išnaudojant viešai atskleistų žiniatinklio serverių pažeidžiamumą. Šis pradinis išnaudojimas leidžia įdiegti ASPXSpy žiniatinklio apvalkalą, kuris yra pirmasis įėjimo taškas į tikslinės organizacijos tinklą.

Patekęs į vidų, žiniatinklio apvalkalas veikia kaip komunikacijos kanalas, suteikiantis gerai žinomų įrankių rinkinį, skirtą išsamiai žvalgybai, judėjimui į šoną, kredencialų surinkimui ir jautrių duomenų išfiltravimui aukos aplinkoje.

Vėliau „Moneybird“ išpirkos reikalaujanti programinė įranga yra įdiegta pažeistame pagrindiniame kompiuteryje ir konkrečiai taikoma slaptiems failams aplanke „F:\User Shares“. Vykdant išpirką, išpirkos programa palieka išpirkos raštelį, spaudžiant aukas susisiekti per 24 valandas arba rizikuoja, kad pavogti duomenys bus viešai nutekinti.

Moneybird šifravimui naudoja AES-256 su GCM, naudodama sudėtingą techniką, kuri kiekvienam failui generuoja unikalius šifravimo raktus. Užšifruoti metaduomenys pridedami prie kiekvieno failo pabaigos, todėl duomenų atkūrimas ir iššifravimas daugeliu atvejų yra labai sudėtingas, o gal net neįmanomas.

Kas yra pažengę nuolatinės grėsmės veikėjai arba APT?

Pažangūs nuolatiniai grėsmių veikėjai (angl. Advanced Persistent Threat Actors – APT) – tai sudėtingi ir aukštos kvalifikacijos grėsmių veikėjai arba įsilaužimo grupės, vykdančios ilgalaikes tikslines kibernetines atakas prieš konkrečias organizacijas, dažnai remiamos tautinių valstybių arba pakankamai išteklių turinčių subjektų. APT pasižymi pažangiomis technikomis, atkaklumu ir ketinimu įsiskverbti į tikslines sistemas ir jas pažeisti ilgą laiką, dažnai nepastebimai.

Štai keletas pagrindinių su APT susijusių savybių ir bruožų:

• Pažangios technologijos: APT veikėjai naudoja pažangias įsilaužimo technologijas, įskaitant nulinės dienos išnaudojimą, tinkintą kenkėjišką programinę įrangą, šaknų rinkinius ir sudėtingą socialinės inžinerijos taktiką. Jie nuolat tobulina savo metodus, kad išvengtų saugumo priemonių ir išlaikytų prieigą.
• Patvarumas: APT yra įsipareigoję siekti savo tikslų ir išlaikyti ilgalaikį buvimą pažeistose sistemose. Jie gali nustatyti kelis įėjimo taškus, sukurti užpakalines duris ir naudoti slaptus ryšio kanalus, kad išlaikytų atkaklumą.
• Tikslinės atakos: APT sutelkia dėmesį į konkrečius taikinius, tokius kaip vyriausybinės agentūros, gynybos rangovai, ypatingos svarbos infrastruktūra, mokslinių tyrimų institucijos ar tarptautinės korporacijos. Jie atlieka nuodugnią žvalgybą, siekdami surinkti žvalgybos informaciją ir pritaikyti savo atakas, kad išnaudotų specifinius taikinio infrastruktūros pažeidžiamumus.
• Nacionalinės valstybės parama: APT dažnai siejama su nacionalinėmis valstybėmis arba valstybės remiamais subjektais, siekiančiais politinių, ekonominių ar karinių pranašumų. Jie gali turėti didelius išteklius, žvalgybos pajėgumus ir teisinę apsaugą, leidžiančią vykdyti plačias ir ilgalaikes kampanijas.
• Duomenų išskyrimas: pagrindinis APT tikslas yra išfiltruoti vertingus duomenis, įskaitant intelektinę nuosavybę, komercines paslaptis, įslaptintą informaciją arba asmens identifikavimo informaciją (PII). Pavogti duomenys gali būti naudojami šnipinėjimui, ekonominei naudai, konkurenciniam pranašumui ar būsimoms kibernetinėms operacijoms.
• Slaptos operacijos: APT pirmenybę teikia žemo profilio palaikymui ir aptikimo vengimui. Jie naudoja sudėtingas vengimo technologijas, tokias kaip antikriminalistinės priemonės, šifravimas ir užmaskavimas, kad paslėptų savo veiklą ir išvengtų apsaugos sistemų.

Gerai žinomų APT grupių pavyzdžiai yra APT29 (taip pat žinomas kaip Cozy Bear arba The Dukes), APT28 (taip pat žinomas kaip Fancy Bear arba Sofacy), Equation Group, Comment Crew ir Lazarus Group.