Moneybird løsepengevare som brukes i angrep på israelske enheter

Agrius, en iransk hackergruppe også kjent som Pink Sandstorm og tidligere Americium, har utviklet en ny type løsepengevare kalt Moneybird. CheckPoint-forskere oppdaget denne farlige skadevare, som betyr en betydelig endring i Agrius' taktikk når de nå retter seg mot israelske organisasjoner.

Agrius har en historie med å utføre destruktive datasletteangrep på israelske enheter, ofte forkledd som løsepenge-infeksjoner. Utviklingen av Moneybird, programmert i C++, viser frem gruppens ekspanderende ferdigheter og pågående forpliktelse til å lage nye cyberverktøy.

Siden minst desember 2020 har Agrius blitt sporet tilbake til forstyrrende inntrengninger rettet mot diamantindustrier i Sør-Afrika, Israel og Hong Kong. Tidligere brukte gruppen en .NET-basert løsepengevare kalt Apostle, som senere utviklet seg til Fantasy. Imidlertid demonstrerer Moneybird, kodet i C++, gruppens utviklende cyber-evner.

Moneybird - Forplantning og aktivitet

Moneybird løsepengevareoperasjonen demonstrerer Agrius økende tekniske ekspertise og dedikasjon til å utvikle nye cyberverktøy. Den bruker en sofistikert angrepsmetodikk som begynner med å utnytte sårbarheter i offentlig eksponerte webservere. Denne første utnyttelsen tillater distribusjon av et ASPXSpy-nettskall, som fungerer som det første inngangspunktet til den målrettede organisasjonens nettverk.

Når det først er inne, fungerer web-skallet som en kommunikasjonskanal for å levere et sett med velkjente verktøy designet for dyptgående rekognosering, sideveis bevegelse, innhenting av legitimasjon og eksfiltrering av sensitive data i offerets miljø.

Deretter distribueres Moneybird løsepengevare på den kompromitterte verten og retter seg spesifikt mot sensitive filer i mappen "F:\User Shares". Ved henrettelse etterlater løsepengevaren en løsepengenota, og presser ofrene til å ta kontakt innen 24 timer eller risikere at de stjålne dataene deres blir lekket offentlig.

Moneybird bruker AES-256 med GCM for kryptering, og bruker en sofistikert teknikk som genererer unike krypteringsnøkler for hver fil. Krypterte metadata legges til på slutten av hver fil, noe som gjør datagjenoppretting og dekryptering svært utfordrende, om ikke umulig, i de fleste tilfeller.

Hva er Advanced Persistent Threat Actors eller APTs?

Advanced Persistent Threat Actors (APTs) er sofistikerte og svært dyktige trusselaktører eller hackergrupper som utfører langsiktige, målrettede cyberangrep mot spesifikke organisasjoner, ofte med støtte fra nasjonalstater eller godt ressurssterke enheter. APT-er er preget av deres avanserte teknikker, utholdenhet og intensjon om å infiltrere og kompromittere målrettede systemer i lengre perioder, ofte forbli uoppdaget.

Her er noen nøkkelegenskaper og egenskaper assosiert med APT-er:

• Avanserte teknikker: APT-aktører bruker avanserte hackingteknikker, inkludert nulldagers utnyttelser, tilpasset skadelig programvare, rootkits og sofistikerte taktikker for sosial ingeniørkunst. De utvikler stadig metodene sine for å omgå sikkerhetstiltak og opprettholde tilgangen.
• Utholdenhet: APT-er er forpliktet til å nå sine mål og opprettholde langsiktig tilstedeværelse innenfor kompromitterte systemer. De kan etablere flere inngangspunkter, skape bakdører og bruke skjulte kommunikasjonskanaler for å opprettholde utholdenhet.
• Målrettede angrep: APT-er fokuserer på spesifikke mål, for eksempel offentlige etater, forsvarsentreprenører, kritisk infrastruktur, forskningsinstitusjoner eller multinasjonale selskaper. De gjennomfører grundig rekognosering for å samle etterretning og skreddersy angrepene sine for å utnytte spesifikke sårbarheter i målets infrastruktur.
• Nasjonalstatlig støtte: APT-er er ofte assosiert med nasjonalstater eller statsstøttede enheter som søker politiske, økonomiske eller militære fordeler. De kan ha betydelige ressurser, etterretningsevner og juridisk beskyttelse, slik at de kan gjennomføre omfattende og langvarige kampanjer.
• Dataeksfiltrering: Et hovedmål med APT-er er å eksfiltrere verdifulle data, inkludert åndsverk, forretningshemmeligheter, klassifisert informasjon eller personlig identifiserbar informasjon (PII). De stjålne dataene kan utnyttes til spionasje, økonomisk gevinst, konkurransefortrinn eller fremtidige cyberoperasjoner.
• Skjulte operasjoner: APT-er prioriterer å holde en lav profil og unngå oppdagelse. De bruker sofistikerte unndragelsesteknikker, som anti-kriminaltekniske tiltak, kryptering og tilsløring for å skjule aktivitetene deres og unngå sikkerhetssystemer.

Eksempler på kjente APT-grupper inkluderer APT29 (også kjent som Cozy Bear eller The Dukes), APT28 (også kjent som Fancy Bear eller Sofacy), Equation Group, Comment Crew og Lazarus Group.