Malware for Quantum Builder
Sikkerhetsforskere med Cyble publiserte en ny rapport om fremveksten av skadelig programvare som bruker .lnk-snarveisfiler for å levere den endelige nyttelasten. Et høydepunkt i rapporten var en .lnk-filbygger kalt Quantum.
Quantum selges på hackerfora, som en abonnementstjeneste eller som en engangsbetaling for livstidsbruk. Et månedlig abonnement koster rundt 190 EUR og et engangskjøp er hele 1500 EUR.
Skadevaren hevder å ha muligheten til å forfalske enhver legitim filtype og kommer pakket med 300 forskjellige ikontyper. Annonsematerialet som er lagt ut av skadevareforfatterne hevder også at Quantum kan slippe den endelige nyttelasten i en hvilken som helst katalog på offersystemet og utføre den enten ved systemoppstart eller etter en forhåndsinnstilt forsinkelse, ved å bruke Powershell til å kjøre nyttelasten med administratorrettigheter.
Cyble påpekte at under standardinnstillinger vil Windows skjule .lnk-utvidelsen, så hvis filnavnet er "document.txt.lnk" vil filen vises som "document.txt". Imidlertid beholder det lille trikset fortsatt det lille snarveiikonet nederst til venstre på filens ikon.
Forskerne fant også en mulig kobling mellom Quantum malware og Lazarus-gruppen APT. Deobfuskeringsinstruksjonene og måten variabler initialiseres på var i hovedsak den samme mellom en prøve som ble brukt av Lazarus og en som brukte Quantum-byggeren.
