GoStealer-malware richt zich op Indiase militairen
Beveiligingsonderzoekers hebben een geavanceerd cyberspionage-incident ontdekt, gericht tegen de Indiase luchtmacht. Bij de cyberaanval op de Indiase luchtmacht is een variant van de bekende Go Stealer betrokken, kwaadaardige software die is ontwikkeld om op discrete wijze gevoelige informatie te extraheren.
De malware, verspreid via een bedrieglijk genaamd ZIP-bestand met de naam 'SU-30_Aircraft_Procurement', maakt gebruik van recente aankondigingen van defensieaanbestedingen, met name de goedkeuring van twaalf Su-30 MKI-straaljagers door het Indiase ministerie van Defensie in september 2023.
Volgens bevindingen van Cyble Research and Intelligence Labs voeren de aanvallers hun plan uit via een zorgvuldig georkestreerde reeks stappen. Ze gebruiken een anoniem bestandsopslagplatform genaamd Oshi om het misleidende ZIP-bestand te hosten, vermomd als cruciale verdedigingsdocumentatie. De link 'hxxps://oshi[.]at/ougg' wordt waarschijnlijk verspreid via spam-e-mails of andere communicatiekanalen.
De infectievolgorde verloopt van een ZIP-bestand naar een ISO-bestand, gevolgd door een .lnk-bestand, wat uiteindelijk leidt tot de inzet van de Go Stealer-payload. De aanvallers maken gebruik van de verhoogde spanning rond de aanschaf van defensie en proberen professionals van de Indiase luchtmacht ertoe te verleiden de malware ongewild te activeren.
GoStealer krijgt een upgrade
De geïdentificeerde Go Stealer-variant, verschillend van zijn GitHub-tegenhanger, toont geavanceerde functies die het dreigingsniveau verhogen. Deze variant, gecodeerd in de programmeertaal Go en gebaseerd op een open-source Go Stealer van GitHub, introduceert verbeteringen, waaronder uitgebreide browsertargeting en een nieuwe methode voor gegevensexfiltratie via Slack.
Na uitvoering genereert de dief een logbestand op het systeem van het slachtoffer, waarbij gebruik wordt gemaakt van GoLang-tools zoals GoReSym voor een grondige analyse. De malware is ingewikkeld ontworpen om inloggegevens en cookies uit specifieke internetbrowsers te extraheren, waaronder Google Chrome, Edge en Brave.
In tegenstelling tot conventionele informatiestelers, vertoont deze variant een verhoogde verfijning door gebruik te maken van de Slack API voor geheime communicatie. De keuze voor Slack als communicatiekanaal sluit aan bij het wijdverbreide gebruik ervan in bedrijfsnetwerken, waardoor kwaadaardige activiteiten naadloos kunnen worden gecombineerd met regulier zakelijk verkeer.
De geïdentificeerde Go Stealer, verspreid via het misleidende ZIP-bestand genaamd "SU-30_Aircraft_Procurement", vormt een aanzienlijke bedreiging voor het Indiase defensiepersoneel. De timing van de aanval, die samenvalt met de aankondiging door de Indiase regering van de aanschaf van de Su-30 MKI-straaljagers, geeft aanleiding tot bezorgdheid over gerichte aanvallen of spionageactiviteiten.
