„EvilExtractor“ siekia pavogti duomenis

„EvilExtractor“ yra kenkėjiškas įrankis, skirtas „Windows“ operacinėms sistemoms išgauti duomenis ir failus iš galinių įrenginių. Jos moduliai veikia per FTP paslaugą ir buvo sukurti bendrovės Kodex, kuri teigia, kad tai yra mokomoji priemonė. Tačiau „FortiGuard Labs“ tyrimai rodo, kad kibernetiniai nusikaltėliai jį aktyviai naudoja, kad pavogtų informaciją.

Kenkėjiška veikla, susijusi su evilextractor.com, 2023 m. kovo mėn. labai išaugo. „FortiGuard Labs“ šią kenkėjišką programą pastebėjo kovo 30 d. sukčiavimo el. pašto kampanijoje ir atsekė ją į savo ataskaitą įtrauktus pavyzdžius. Kenkėjiška programa yra užmaskuota kaip teisėtas failas, pvz., „Adobe PDF“ arba „Dropbox“ failas, tačiau atidarius ji inicijuoja „PowerShell“ kenkėjišką veiklą. Kenkėjiška programinė įranga taip pat turi funkcijų, kurios tikrina aplinką ir virtualizaciją. Pagrindinis kenkėjiškos programos tikslas yra pavogti naršyklės duomenis ir informaciją iš pažeistų sistemų, o tada nukreipti ją užpuolikams.

Remiantis „Fortinet“ ataskaita, jų pastebėtos atakos prasidėjo nuo sukčiavimo el. laiško, kuriame buvo suspaustas vykdomasis priedas, užmaskuotas kaip teisėtas PDF arba „Dropbox“ failas. Atidarius, jis paleidžia .NET įkroviklį, kuris naudoja užkoduotą PowerShell scenarijų, kad paleistų EvilExtractor vykdomąjį failą. Pirmą kartą paleidus, kenkėjiška programa patikrina sistemos vietinį laiką ir pagrindinio kompiuterio pavadinimą, kad sužinotų, ar ji veikia virtualioje aplinkoje arba smėlio dėžėje. Tokiu atveju ji bus išjungta.

„EvilExtractor“ apima tris papildomus „Python“ komponentus: „KK2023.zip“, „Confirm.zip“ ir „MnMs.zip“. Pirmoji programa ištraukia slapukus, naršymo istoriją ir išsaugotus slaptažodžius iš „Google Chrome“, „Microsoft Edge“, „Opera“ ir „Firefox“ bei kitų programų. Kitas modulis yra klavišų registratorius, kuris įrašo klavišų paspaudimus ir išsaugo juos vietiniame aplanke. Trečiasis failas yra internetinės kameros ištraukiklis, galintis tyliai įjungti internetinę kamerą, užfiksuoti vaizdo įrašus ar vaizdus ir įkelti užfiksuotą medžiagą į užpuoliko FTP serverį. Kenkėjiška programa taip pat išfiltruoja daugybę dokumentų ir medijos failų tipų iš darbalaukio ir atsisiuntimų aplankų, fiksuoja ekrano kopijas ir siunčia visus pavogtus duomenis savo operatoriams. Be to, „Kodex ransomware“ modulis yra įdėtas įkroviklyje ir, jei jis suaktyvintas, iš produkto svetainės atsisiunčia papildomą failą („zzyy.zip“), kad sukurtų slaptažodžiu apsaugotą archyvą, kuriame būtų aukos failai.

Kaip grėsmės veikėjai gali platinti kenkėjiškas programas, panašias į „EvilExtractor“?

Grėsmės veikėjai gali platinti kenkėjiškas programas, panašias į EvilExtractor, naudodami įvairias taktikas, tokias kaip:

• Sukčiavimo el. laiškai: užpuolikai gali kurti sukčiavimo el. laiškus, kurie atrodo iš patikimo šaltinio, pvz., banko ar populiarios internetinės paslaugos, ir įtraukti priedus arba nuorodas į kenkėjiškus failus, užmaskuotus kaip teisėti failai, pvz., PDF arba Dropbox failai. Kai auka atidaro failą, kenkėjiška programa gali būti įdiegta jos sistemoje.
• Kenkėjiška reklama: užpuolikai taip pat gali platinti kenkėjiškas programas vykdydami kenkėjišką reklamą, kuri apima kenkėjiškų skelbimų, rodomų teisėtose svetainėse, kūrimą. Kai vartotojas spustelėja skelbimą, jis nukreipiamas į svetainę, kurioje įdiegta kenkėjiška programa jų sistemoje.
• „Watering Hole“ atakos: tokio tipo atakos metu užpuolikai taikosi į konkrečią svetainę, kurioje greičiausiai apsilankys jų numatytos aukos. Jie užkrečia svetainę kenkėjiška programine įranga, o kai auka apsilanko svetainėje, jų sistema užkrėsta kenkėjiška programa.
• Atsisiuntimai pagal įrenginį: užpuolikai taip pat gali naudoti atsisiuntimus, kad aukos sistemoje įdiegtų kenkėjišką programą. Šio tipo ataka apima kenkėjiško kodo įvedimą į teisėtas svetaines. Kai vartotojas apsilanko užkrėstoje svetainėje, kenkėjiškas kodas atsisiunčiamas į jo sistemą be jo žinios ar sutikimo.
• Socialinė inžinerija: užpuolikai gali naudoti socialinės inžinerijos taktiką, kad apgaudinėtų aukas savo sistemose įdiegti kenkėjiškas programas. Pavyzdžiui, jie gali sukurti netikrus programinės įrangos naujinius arba antivirusines programas, kurios iš tikrųjų yra užmaskuotos kenkėjiškos programos.

Norint apsisaugoti nuo tokio tipo atakų, labai svarbu laikytis geros kibernetinio saugumo higienos, pvz., nuolat atnaujinti sistemą ir programinę įrangą, naudoti stiprius slaptažodžius ir būti atsargiems atidarant el. laiškų priedus arba spustelėjus nuorodas.