Herwerkte JSSLoader levert de Carbanak Trojan
Refactoring-code is een populaire techniek die softwareontwikkelaars gebruiken om, in termen van de leek, de interne structuur van hun programma te wijzigen zonder het gedrag ervan te veranderen. Malwareontwikkelaars gebruiken dergelijke technieken ook om hun projecten op verschillende manieren te verbeteren. Een van de projecten die onlangs een dergelijke verandering hebben ondergaan, is de JSSLoader Trojan. Echter, in plaats van de code een beetje te optimaliseren, kozen de criminelen achter de JSSLoader ervoor om deze te herschrijven met een andere programmeertaal. Terwijl de originele JSSLoader-trojan in .NET is geschreven, is de in juni 2021 uitgebrachte variant gebaseerd op C++.
Waarom is de JSSLoader herschreven?
Een van de voordelen van het overschakelen van malware naar een geheel andere programmeertaal is dat het huidige beveiligingsmarkeringen en detecties onbruikbaar kan maken. Dit was waarschijnlijk het primaire doel van de ontwikkelaars van JSSLoader - om firewall- en antivirussoftware te omzeilen met de lancering van de nieuwe variant. Natuurlijk kunt u er zeker van zijn dat gerenommeerde antivirusprogramma's de nodige updates hebben ontvangen om ervoor te zorgen dat de nieuwe JSSLoader geen kans krijgt om schade aan te richten.
Cybersecurity-experts stellen dat de nieuwe variant van JSSLoader qua functionaliteit geen verbeteringen kent. De malware wordt echter verspreid via nieuwe e-mailspamcampagnes en aanvullende trucs. De groep achter deze operatie wordt gevolgd onder de alias TA543, en hun huidige campagne gaat achter honderden organisaties aan die actief zijn in verschillende sectoren - gezondheidszorg, detailhandel, technologie, financiën en andere.
Het doel van de JSSLoader 2021
Net als andere Trojan Loaders, doet deze ook niet veel op zichzelf. Het moet worden gekoppeld aan een extra malwarefamilie - het doel van de JSSLoader is ervoor te zorgen dat extra payloads naadloos worden geladen zonder rode vlaggen te veroorzaken. De malwarefamilies die de C++-variant van de JSSLoader Trojan gebruikt, kunnen verschillen, maar ze lijken erg op het arsenaal van de FIN7-hackgroep . Sommige actieve exemplaren van JSSLoader werden bijvoorbeeld gezien met een variant van de Carbanak banking-trojan.
Malware-ontwikkelaars proberen de leveranciers van antivirusproducten voortdurend een stap voor te blijven, en de volledige structurele verandering van JSSLoader is zo'n poging. Het volgen van de beste veilige praktijken voor surfen op het web en het regelmatig toepassen van updates voor uw antivirussoftware zou voldoende moeten zijn om aanvallen zoals hierboven beschreven te verminderen.
