Ande Loader-malware verspreidt zich via phishing
Er is waargenomen dat de dreigingsactor Blind Eagle een loader-malware genaamd Ande Loader gebruikt om trojans voor externe toegang (RAT's) zoals Remcos RAT en NjRAT te verspreiden. Deze aanvallen, geïnitieerd via phishing-e-mails, waren specifiek gericht op Spaanstalige personen binnen de productiesector in Noord-Amerika, volgens rapporten van eSentire.
Blind Eagle, ook wel bekend als APT-C-36, is een financieel gemotiveerde bedreigingsacteur met een staat van dienst in het uitvoeren van cyberaanvallen op doelen in Colombia en Ecuador, waarbij hij verschillende RAT’s levert, waaronder AsyncRAT, BitRAT, Lime RAT, NjRAT, Remcos RAT en Quasar RAT. De recente bevindingen duiden op een uitbreiding van de targetingstrategie van de bedreigingsacteur, waarbij gebruik wordt gemaakt van phishing-tactieken met RAR- en BZ2-archieven om het infectieproces te initiëren.
Ande Loader-methode van infiltratie
De RAR-archieven, beschermd door wachtwoorden, bevatten een kwaadaardig Visual Basic Script (VBScript)-bestand dat verantwoordelijk is voor het tot stand brengen van persistentie in de Windows Startup-map en het initiëren van de Ande Loader, die vervolgens de Remcos RAT-payload laadt. Als alternatief wordt bij een andere waargenomen aanvalsmethode een BZ2-archief met een VBScript-bestand gedistribueerd via een Discord content delivery network (CDN)-link, waarbij Ande Loader NjRAT laat vallen in plaats van Remcos RAT.
eSentire merkte op dat Blind Eagle crypters heeft gebruikt die zijn ontwikkeld door personen bekend als Roda en Pjoao1578. Een van Roda's crypters bevat een hardgecodeerde server die zowel injectorcomponenten van de crypter host als aanvullende malware die wordt gebruikt in de Blind Eagle-campagne.
Deze ontwikkelingen vallen samen met de onthulling door SonicWall van een andere loader-malwarefamilie genaamd DBatLoader, die misbruik maakt van een legitiem maar kwetsbaar stuurprogramma dat is gekoppeld aan de RogueKiller AntiMalware-software (truesight.sys) om beveiligingsoplossingen uit te schakelen in een Bring Your Own Vulnerable Driver (BYOVD)-aanval, uiteindelijk het leveren van Remcos RAT.
