KamiKakaBot richt zich op Aziatische overheidsinstanties
In februari 2023 werd een reeks malwares, bekend als KamiKakaBot, ontdekt door onderzoekers van EclecticIQ.
Deze malware-exemplaren bleken gericht te zijn op overheidsinstellingen in ASEAN-landen. Er werd waargenomen dat de aanvallen die in februari plaatsvonden vergelijkbaar waren met die gerapporteerd door Group-IB in januari 2023, waarbij de bedreigingsactoren ISO-images gebruikten om KamiKakaBot te leveren via DLL side-loading-techniek. In de campagne van februari werd de verduisteringsroutine echter verbeterd om antimalwaremaatregelen beter te omzeilen. Door meerdere overlappingen te identificeren, konden EclecticIQ-analisten de aanvallen toeschrijven aan de Dark Pink APT-groep, die actief is in de ASEAN-regio.
Aangenomen wordt dat de Dark Pink-groep medio 2021 is gestart en zijn activiteiten in 2022 heeft uitgebreid. De primaire functie van KamiKakaBot is het stelen van gegevens die zijn opgeslagen in webbrowsers, zoals opgeslagen inloggegevens, browsegeschiedenis en cookies. De ontwikkelaars van KamiKakaBot gebruiken verschillende technieken om onopgemerkt te blijven terwijl ze kwaadaardige acties uitvoeren op geïnfecteerde apparaten, zoals Living-off-the-Land binaries (LOLBIN's) zoals MsBuild.exe.
Distributiemethoden voor KamiKaka en werkwijze
Phishing-e-mails worden gebruikt om KamiKakaBot te verspreiden, die wordt geleverd in de vorm van een schadelijke ISO-bestandsbijlage. Dit bestand bevat een legitiem door Microsoft ondertekend WinWord.exe, dat wordt misbruikt voor DLL side-loading-techniek. Wanneer de gebruiker op WinWord.exe klikt, wordt de KamiKakaBot-lader (MSVCR100.dll) in dezelfde map als WinWord automatisch in het geheugen geladen en uitgevoerd.
Het kwaadaardige ISO-bestand bevat ook een misleidend Word-document met een versleuteld gedeelte dat XOR-gecodeerd is. De KamiKakaBot-lader gebruikt deze sectie om de XOR-gecodeerde inhoud van het lokbestand te decoderen en schrijft vervolgens de gedecodeerde XML-payload van KamiKakaBot naar schijf (C:\Windows\temp) en voert deze uit via een levend-van-het-land binair bestand, MsBuild.exe.
KamiKakaBot is in staat om gevoelige informatie uit Chrome-, MS Edge- en Firefox-webbrowsers te extraheren en de gestolen gegevens worden gecomprimeerd tot een ZIP-indeling en verzonden naar het Telegram-botkanaal van de aanvaller. Na de eerste infectie kan de aanvaller de malware upgraden of externe code uitvoeren op het beoogde apparaat, waardoor verdere post-exploitatieactiviteiten mogelijk zijn. Alle communicatie tussen de malware en het commando- en controlecentrum wordt uitgevoerd via een Telegram-bot die wordt bestuurd door de bedreigingsactor.
