RUBYCARP Botnet toegeschreven aan Roemeense bedreigingsacteur
Er is waargenomen dat een cyberdreigingsgroep die vermoedelijk van Roemeense afkomst is, bekend als RUBYCARP, een persistent botnet exploiteert voor het uitvoeren van verschillende illegale activiteiten, waaronder cryptomining, gedistribueerde denial-of-service (DDoS)-aanvallen en phishing-programma's.
Deze groep, die vermoedelijk al minstens tien jaar actief is, gebruikt het botnet voornamelijk voor financieel gewin, zoals gerapporteerd door Sysdig en gedeeld met The Hacker News. Hun modus operandi omvat het inzetten van een botnet via een reeks publieke exploits en brute force-tactieken en het communiceren via zowel publieke als private IRC-netwerken.
Er zijn aanwijzingen dat RUBYCARP zou kunnen overlappen met een andere bedreigingsentiteit die wordt gevolgd door het Albanese cyberbeveiligingsbedrijf Alphatechs, geïdentificeerd als Outlaw. Outlaw heeft een geschiedenis van cryptomining en brute-force-aanvallen, maar heeft onlangs de focus verlegd naar phishing- en spearphishing-campagnes.
RUBYCARP richt zich op phishing als initiële aanvalsvector
Deze phishing-pogingen zijn bedoeld om slachtoffers te misleiden om gevoelige informatie zoals inloggegevens of financiële gegevens vrij te geven, aldus beveiligingsonderzoeker Brenton Isufi.
Een opmerkelijk aspect van de methoden van RUBYCARP is het gebruik van ShellBot-malware (ook bekend als PerlBot) om doelomgevingen te infiltreren. Ze maken ook misbruik van kwetsbaarheden in het Laravel Framework, een tactiek die wordt gedeeld met andere bedreigingsactoren zoals AndroxGh0st.
Om het bereik van hun botnet uit te breiden, is waargenomen dat RUBYCARP WordPress-sites compromitteert met behulp van veelgebruikte combinaties van gebruikersnaam en wachtwoord. Zodra toegang is verkregen, installeren ze een achterdeur op basis van de populaire Perl ShellBot, die de server van het slachtoffer verbindt met een Internet Relay Chat (IRC)-server die fungeert als command-and-control.
Het botnet, dat naar schatting meer dan 600 hosts omvat, is sterk afhankelijk van IRC voor de communicatie en coördinatie van cryptomining-campagnes. Bovendien communiceren leden van de groep via een Undernet IRC-kanaal genaamd #cristi en gebruiken ze een massascanner om potentiële nieuwe hosts te identificeren.
De opkomst van RUBYCARP in het cyberdreigingslandschap onderstreept hun vaardigheid in het inzetten van het botnet voor verschillende illegale activiteiten, waaronder cryptomining en phishing-operaties gericht op het stelen van gevoelige informatie zoals creditcardnummers.
