DoppelDridex gebruikt door financieel gemotiveerde acteurs

DoppelDridex is een eigenaardig malware-voorbeeld, dat actief wordt verspreid via verschillende phishing-campagnes. De criminelen gebruiken een aangepaste versie van de Dridex-malware om extra payloads in te zetten, zoals het Cobalt Strike-baken en de Grief Ransomware. Zoals de naam al doet vermoeden, is de DoppelPaymer-bende aangesloten bij dit project. Ze zitten ook achter de Grief Ransomware, een rebranded-versie van de beruchte DoppelPaymer Ransomware.

De criminelen maken misbruik van legitieme diensten om de kwaadaardige bestanden te hosten die ze aan slachtoffers bezorgen. In alle huidige campagnes hosten ze kwaadaardige Excel-bestanden op de services Discordapp.com en Files.slack.com. Deze legitieme domeinen worden gebruikt door de Slack- en Discord-applicaties om bestanden tussen gebruikers te delen. Ze gebruiken ze echter alleen om bestanden te hosten - de daders benaderen slachtoffers nog steeds vanuit phishing-e-mailberichten.

DoppelDridex kan zijn aanvallen beëindigen met de Grief Ransomware

Het gebruik van de DoppelDridex Malware wordt toegeschreven aan een bende die wordt gevolgd onder de alias DoppelSpider. Ze hebben zich de laatste tijd sterk gericht op het gebruik van Discord en Slack om hun malware te verspreiden. Het gebruik van legitieme services om payloads te hosten is om verschillende redenen niet ongebruikelijk voor cybercriminelen:

• Gebruikers hebben de neiging om vertrouwde domeinen meer te vertrouwen.
• De meeste firewall- en beveiligingsconfiguraties blokkeren geen inhoud van Discord en Slack.

Onnodig te zeggen dat de DoppelSpider-bende financieel gemotiveerd is. Ze gebruiken de initiële lading om gevoelige gegevens van het slachtoffer te verzamelen, maar ze zetten ook vaak secundaire implantaten in voor meer controle. Momenteel lijkt het alsof de Grief Ransomware de laatste lading is die ze gebruiken om te profiteren van hun aanvallen.

Vergeet niet om bestanden die op bekende domeinen worden gehost niet automatisch te vertrouwen - voer ze altijd eerst door een beveiligingsscanner. Aangezien de criminelen nog steeds afhankelijk zijn van e-mailphishing, moet u voorzichtig zijn bij het omgaan met nieuwe en onbekende e-mails, vooral als de afzender willekeurig lijkt. Volg hun links niet en bekijk hun bijlagen niet.