De nieuwe Jupyter Trojan bedreigt uw wachtwoorden en gebruikersnamen
Onderzoekers met Morphisec hebben een nieuwe vorm van malware ontdekt. De nieuwe dreiging is een Trojaans paard genaamd Jupyter en is voornamelijk gericht op bedrijven en onderwijsinstellingen.
Jupyter probeert inloggegevens te stelen en achterdeurtjes op de gecompromitteerde systemen te installeren om verdere kwaadwillende activiteiten van een deel van de slechteriken erachter toe te staan. De oorspronkelijke ontdekking van de nieuwe malware werd pas onlangs gedaan op het netwerk van een Amerikaanse onderwijsinstelling, maar onderzoekers denken dat deze al in het voorjaar van 2020 in gebruik was.
De primaire functionaliteit van Jupyter is om zich te richten op populaire browsers en inloggegevens uit opgeslagen browsergegevens te schrapen. Het kan echter ook aanhoudende achterdeurtjes op de getroffen systemen creëren, waardoor slechte actoren PowerShell-scripts kunnen uitvoeren en meer malwarepakketten op het systeem van het slachtoffer kunnen installeren.
Het Jupyter-installatieprogramma wordt meestal gedistribueerd met een vals gecomprimeerd bestandspictogram. De slechteriken erachter gebruiken typische social engineering-tactieken, waarbij ze het bestand een naam geven om eruit te zien als iets dat opwindend of urgent is. Zodra het installatieprogramma van de malware is uitgevoerd, installeert het in feite legitieme tools om de daadwerkelijke download van de kwaadaardige payload te verbergen, wat stilletjes op de achtergrond gebeurt.
Zodra de payload is geïmplementeerd op het systeem van het slachtoffer, kan de Trojan allerlei soorten browserinformatie schrapen, inclusief opgeslagen autocomplete strings, inloggegevens en cookies. Deze informatie wordt vervolgens overgebracht naar een van de commando- en controleservers van Jupyter die wordt beheerd door de cybercriminelen.
Het doel van dit soort gegevensverzameling is hoogstwaarschijnlijk niet het doorverkopen van de gestolen informatie, maar eerder het verzamelen van voldoende gegevens om een diepere, meer invasieve en schadelijke aanval uit te voeren, die het gecompromitteerde netwerk infiltreert.
Beveiligingsonderzoekers denken dat de malware afkomstig is uit Rusland, aangezien het traceren van de verbinding met commando- en controleservers locaties in Rusland heeft onthuld en een afbeelding die is gekoppeld aan het configuratiescherm van de malware ook op een Russisch forum is gevonden.
