Karakurt Hacking Group richt zich op Europa en Noord-Amerika

Financieel gemotiveerde dreigingsactoren waren het afgelopen jaar sterk afhankelijk van ransomware. Ze proberen bedrijfs- en bedrijfsnetwerken te infiltreren en vervolgens belangrijke gegevens te stelen voordat ze deze versleutelen. Ten slotte bieden ze het slachtoffer een optie: honderdduizenden dollars betalen in ruil voor een decoderingstool, en de criminelen ervan weerhouden ze online te publiceren. Het lijkt er echter op dat er een nieuwe bedreigingsacteur is die de ransomware-component van deze vergelijking heeft geëlimineerd. De criminelen, bekend als Karakurt, lijken het doelwit te zijn van bedrijven in Noord-Amerika.

Karakurt is de naam van een giftige spin die in Oost-Europa wordt gevonden en is waarschijnlijk geïnspireerd op de naam van de groep, te oordelen naar de afbeeldingen die voor hun Twitter-account zijn gebruikt. Helaas zegt dit niet veel over de identiteit of locatie van de criminelen. Er zijn al 40 bevestigde gevallen van Karakurt-aanvallen, en 95% van hen werd geïdentificeerd in Noord-Amerika – de anderen waren in Europa.

Karakurt-hackers stelen bestanden zonder ransomware te gebruiken

Zoals eerder vermeld, proberen de criminelen hun slachtoffers af te persen voor geld. Ze zetten echter geen ransomware-dreiging in om dit te bereiken. In plaats daarvan gebruiken ze een combinatie van openbare tools en private malware om gevoelige informatie uit gecompromitteerde netwerken te exfiltreren. Zodra ze erin slagen een systeem met succes te infiltreren, proberen ze zich ook zijdelings over het hele netwerk te verspreiden, waardoor ze toegang krijgen tot meer gegevens.

Een van de populaire implantaten waar de Karakurt-hackers op vertrouwen, is Cobalt Strike. Zoals hierboven vermeld, aarzelen ze echter ook niet om legitieme tools zoals AnyDesk in te zetten om op afstand toegang te krijgen tot geïnfecteerde systemen.

Het lijkt erop dat de meeste infiltraties plaatsvinden door inloggegevens te gebruiken. De criminelen vertrouwen ofwel op spear-phishing-aanvallen, of ze gebruiken andere methoden om inloggegevens van bedrijfsmedewerkers te stelen. Onnodig te zeggen dat het beschermen van netwerken tegen de Karakurt-aanval het gebruik van een beveiligd netwerkbeleid en veilige, regelmatig bijgewerkte accountgegevens vereist.