Graphiron-malware gebruikt tegen Oekraïne
Er is waargenomen dat een aan Rusland gelieerde dreigingsactor nieuwe kwaadaardige software inzet bij cyberaanvallen gericht op Oekraïne. Nagesynchroniseerd Graphiron door Symantec, de malware is het werk van een spionagegroep die bekend staat als Nodaria en die wordt gevolgd door CERT-UA als UAC-0056. Volgens het Threat Hunter Team van Symantec is deze malware geschreven in Go en ontworpen om een breed scala aan informatie van de geïnfecteerde computer te verzamelen, zoals systeeminformatie, inloggegevens, screenshots en bestanden.
Nodaria werd voor het eerst opgemerkt door CERT-UA in januari 2022 voor het gebruik van SaintBot- en OutSteel-malware bij spear-phishing-aanvallen tegen overheidsinstanties. De hackgroep wordt ook wel DEV-0586, TA471 en UNC2589 genoemd en is rond dezelfde tijd in verband gebracht met destructieve WhisperGate (ook bekend als PAYWIPE) datawisser-aanvallen op Oekraïense entiteiten. Het is actief sinds april 2021 en heeft aangepaste backdoors zoals GraphSteel en GrimPlant ingezet in verschillende campagnes na de Russische militaire invasie van Oekraïne. Cobalt Strike Beacon werd ook gebruikt voor post-exploitatie bij sommige inbraken.
Graphiron is de nieuwste toevoeging aan Nodaria's toolkit en is een verbeterde versie van GraphSteel. Het is geschreven in Go-versie 1.18, die in maart 2022 werd uitgebracht, wat suggereert dat het een recentere ontwikkeling is. Het vroegste bewijs van het gebruik dateert van oktober 2022 en het is tot ten minste half januari 2023 bij aanvallen gebruikt.
De infectieketen bestaat uit twee fasen, waarbij de eerste fase een downloader is die verantwoordelijk is voor het ophalen van een versleutelde payload die de Graphiron-malware van een externe server bevat.
Graphiron is nog een ander voorbeeld van de focus van de aanvaller op Oekraïne en zijn overheidsinstanties, waardoor het belangrijk is voor organisaties in de regio om op de hoogte te zijn van deze nieuwe kwaadaardige software en stappen te ondernemen om zich ertegen te beschermen.
Wat is infostealing-malware?
Infostealing-malware is een gevaarlijke vorm van schadelijke software die kan worden gebruikt om vertrouwelijke informatie van computersystemen te stelen zonder medeweten van de gebruiker. Het kan worden gebruikt om toegang te krijgen tot wachtwoorden, financiële gegevens en andere gevoelige informatie. Infostealing-malware kan ook worden gebruikt om gebruikers te bespioneren door schermafbeeldingen te maken of toetsaanslagen op te nemen. Dit type malware wordt vaak verspreid via phishing-e-mails, kwaadaardige websites of geïnfecteerde bestanden.
Het is belangrijk voor organisaties en individuen om stappen te ondernemen om zichzelf te beschermen tegen malware die informatie steelt door sterke wachtwoorden te gebruiken, hun systemen up-to-date te houden met de nieuwste beveiligingspatches en verdachte links of downloads te vermijden. Bovendien is het belangrijk om de netwerkactiviteit te controleren op verdachte activiteiten die op een infectie kunnen duiden. Door deze voorzorgsmaatregelen te nemen, kunnen organisaties en individuen zichzelf helpen beschermen tegen dit soort schadelijke software.
