Bobok Malware gekoppeld aan aanvallen in Oekraïne

Bobik is de naam van een stukje malware dat zich gedraagt als een trojan voor externe toegang. Beveiligingsonderzoekers hebben Bobik in verband gebracht met een dreigingsactor die bekend staat om zijn pro-Russische houding, bekend onder de alias NoName 057(16).

Volgens onderzoekers zou de NoName 057 (16) dreigingsactor op zijn Telegram-account gaan en berichten plaatsen over zijn laatste aanvallen op momenten die samenvielen met distributed denial of service (DDoS)-aanvallen met Bobik.

Bobik heeft zowel spionagetools als DDoS-tools tot zijn beschikking. De malware kan informatie verzamelen over het gecompromitteerde apparaat, inclusief logboekregistratie van toetsaanslagen. De malware kan ook worden gebruikt om DDoS-aanvallen uit te voeren met geïnfecteerde apparaten die aan het botnet zijn toegevoegd.

De infectieketen van Bobik wordt geassocieerd met een ander stukje malware dat bekend staat als RedLine-stealer. RedLine wordt gebruikt als druppelaar en haalt Bobik op, die op zijn beurt zijn DDoS-component inzet.

De malware is gebruikt bij aanvallen op zowel overheids- en militaire entiteiten in Oekraïne als tegen entiteiten in landen die Oekraïne ondersteunen. Tot deze laatste behoren mobiele provider Verizon en de Britse multinationale onderdelenleverancier GKN Ltd.

Bobik is ook gebruikt bij aanvallen op doelen in Litouwen, Letland en Polen, evenals in Scandinavische landen.