BunnnyLoader Malware verkocht op het Dark Web
Beveiligingsexperts hebben onlangs een nieuwe malware-as-a-service (MaaS)-dreiging ontdekt, bekend als BunnyLoader, die te koop wordt aangeboden op het dark web. Volgens een analyse door onderzoekers van Zscaler ThreatLabz biedt BunnyLoader een reeks functies, waaronder het downloaden en uitvoeren van een secundaire payload, het stelen van browsergegevens en systeeminformatie, naast andere mogelijkheden.
BunnyLoader, gecodeerd in C/C++, is beschikbaar voor een eenmalig bedrag van $250, en is in actieve ontwikkeling sinds zijn debuut op 4 september 2023. De malware voegt voortdurend nieuwe functies en verbeteringen toe, waaronder technieken om antivirussoftware en sandbox-omgevingen.
Recente updates op 15 en 27 september 2023 hebben problemen met de command-and-control (C2)-functionaliteit opgelost en "kritieke" SQL-injectiekwetsbaarheden in het C2-paneel aangepakt die ongeautoriseerde toegang tot de database hadden kunnen opleveren.
BunnnyLoader wordt geleverd met bestandsloze mogelijkheden
Een van de opvallende kenmerken van BunnyLoader, benadrukt door de auteur PLAYER_BUNNY (ook bekend als PLAYER_BL), is de mogelijkheid om bestanden te laden, wat het voor antivirusprogramma's een uitdaging maakt om de kwaadaardige code te verwijderen.
Het C2-paneel biedt kopers opties om actieve taken, infectiestatistieken, het totale aantal verbonden en inactieve hosts en logboeken met betrekking tot gestolen gegevens te monitoren. Het biedt ook de mogelijkheid om informatie te wissen en gecompromitteerde machines op afstand te bedienen.
De exacte methode die wordt gebruikt om BunnyLoader te distribueren blijft aanvankelijk onduidelijk. Eenmaal geïnstalleerd op een systeem, zorgt de malware voor persistentie door wijzigingen aan te brengen in het Windows-register. Vervolgens voert het controles uit om sandbox- en virtuele machine-omgevingen te detecteren voordat kwaadaardige activiteiten worden uitgevoerd, zoals het verzenden van taakverzoeken naar een externe server en het verkrijgen van de gewenste antwoorden.
Deze activiteiten omvatten taken zoals het downloaden en uitvoeren van secundaire malware, het uitvoeren van keyloggers en datastelers om informatie te verzamelen uit berichtenapps, VPN-clients en webbrowsers, en het omleiden van cryptocurrency-betalingen om te profiteren van illegale transacties. De laatste stap bestaat uit het verpakken van de verzamelde gegevens in een ZIP-archief en het verzenden ervan naar een externe server.
