PowerMagic maakt deel uit van een malware-framework dat wordt gebruikt tegen Oekraïne
In het midden van het voortdurende conflict tussen Rusland en Oekraïne zijn verschillende organisaties die actief zijn in Donetsk, Lugansk en de Krim het doelwit van een nieuw modulair raamwerk dat bekend staat als CommonMagic, als onderdeel van een actieve campagne. De organisaties die het doelwit zijn, zijn onder meer die in de overheid, de landbouw en de transportsector. Deze aanvallen werden in oktober 2022 gedetecteerd door een Russisch cyberbeveiligingsbedrijf, dat onder de naam "Bad Magic" het activiteitencluster in de gaten houdt.
Er wordt aangenomen dat de aanvallen begonnen met een spear-phishing-campagne, of vergelijkbare methoden, waarbij boobytrap-URL's werden gebruikt die leidden naar een kwaadaardig ZIP-archief op een gecompromitteerde webserver. Dit archief bevat een lokdocument en een kwaadaardig LNK-bestand dat, wanneer het wordt geopend, een achterdeur genaamd PowerMagic installeert.
De achterdeur is geschreven in PowerShell en maakt contact met een externe server, waardoor willekeurige opdrachten kunnen worden uitgevoerd en resultaten kunnen worden geëxfiltreerd naar cloudservices zoals Dropbox en Microsoft OneDrive. PowerMagic wordt ook gebruikt om het CommonMagic-framework te implementeren, een verzameling uitvoerbare modules die zijn ontworpen om te communiceren met de command-and-control (C2)-server, C2-verkeer te coderen en te decoderen en plug-ins uit te voeren. Twee plug-ins die tot nu toe zijn ontdekt, maken het mogelijk om screenshots te maken en interessante bestanden te verzamelen van aangesloten USB-apparaten.
Het is vermeldenswaard dat de onderzoekers geen bewijs hebben gevonden dat deze operatie en de bijbehorende tools in verband brengt met een bekende dreigingsacteur of -groep. De campagne is misschien meer dan anderhalf jaar onopgemerkt gebleven. Hoewel de malware en technieken die in de CommonMagic-campagne worden gebruikt, misschien niet als zeer geavanceerd worden beschouwd, is het gebruik van cloudopslag als commando- en controle-infrastructuur opmerkelijk. Dit laat zien hoe geopolitiek het cyberdreigingslandschap kan beïnvloeden.
Al met al benadrukt deze aanval de noodzaak van verhoogde waakzaamheid in het licht van evoluerende cyberdreigingen, vooral in regio's waar geopolitieke spanningen dergelijke bedreigingen kunnen verergeren. Organisaties moeten alert blijven op de mogelijkheid van spear-phishing-campagnes en vergelijkbare methoden, en bereid zijn om snel en effectief te reageren op vermoedelijke incidenten van cyberaanvallen.
