SSLoad-malware verspreid in phishing-campagne
Beveiligingsexperts hebben een voortdurende aanvalsstrategie geïdentificeerd die gebruik maakt van phishing-e-mails om een vorm van malware te verspreiden die bekend staat als SSLoad. Deze campagne, door Securonix FROZEN#SHADOW genoemd, omvat de inzet van Cobalt Strike en ConnectWise ScreenConnect externe desktopsoftware.
Volgens onderzoekers is SSLoad ontworpen om discreet in systemen te infiltreren, gevoelige gegevens te verzamelen en terug te sturen naar de operators. Eenmaal in een systeem zet SSLoad meerdere achterdeuren en payloads in om onopgemerkt en persistent te blijven.
De aanval begint met phishingberichten die willekeurig worden verzonden naar organisaties in Azië, Europa en Amerika. Deze e-mails bevatten links die leiden naar JavaScript-bestanden die het infectieproces initiëren.
SSLoad gebruikt twee verschillende distributiepaden
Palo Alto Networks heeft onlangs twee distributiemethoden voor SSLoad ontdekt. De ene omvat het insluiten van kwaadaardige URL's in contactformulieren op websites, terwijl de andere gebruik maakt van Microsoft Word-documenten met macro's. Deze laatste methode is opmerkelijk omdat deze niet alleen SSLoad verspreidt, maar ook de levering van Cobalt Strike vergemakkelijkt. Ondertussen is de eerste gebruikt om een andere malware genaamd Latrodectus te verspreiden, mogelijk als opvolger van IcedID.
Het versluierde JavaScript-bestand ("out_czlrh.js") haalt een MSI-installatiebestand ("slack.msi") op van een netwerkshare en voert het uit. Het MSI-installatieprogramma neemt vervolgens contact op met een domein dat wordt beheerd door de aanvaller om de SSLoad-malwarepayload te downloaden en uit te voeren. Deze payload communiceert met een command-and-control-server en levert informatie over het aangetaste systeem.
Zodra de eerste verkenning is voltooid, wordt Cobalt Strike ingezet. Deze legitieme software wordt gebruikt om ScreenConnect te downloaden en te installeren, waardoor de aanvallers op afstand de controle over de host kunnen overnemen. Met volledige toegang tot het systeem proberen de aanvallers inloggegevens en andere kritieke systeemgegevens te bemachtigen, waarbij ze scannen op opgeslagen inloggegevens en gevoelige documenten.
Er is waargenomen dat de aanvallers hun toegang binnen het netwerk uitbreiden, inclusief tot de domeincontroller, en uiteindelijk hun eigen domeinbeheerdersaccount opzetten. Met dit toegangsniveau kunnen ze elke verbonden machine binnen het domein infiltreren, wat voor organisaties een aanzienlijke uitdaging vormt om te herstellen.
