SteganoAmor-aanvalsoperatie gebruikt afbeeldingen om malware te verspreiden

Er is waargenomen dat de dreigingsgroep die bekend staat als TA558 steganografie gebruikt, een techniek om gegevens in afbeeldingen en tekstbestanden te verbergen, om verschillende soorten malware te verspreiden, waaronder Agent Tesla, FormBook, Remcos RAT, LokiBot, GuLoader, Snake Keylogger en XWorm.

Het Russische cyberbeveiligingsbedrijf Positive Technologies meldde maandag dat TA558 op grote schaal gebruik maakt van steganografie, waarbij kwaadaardige scripts en documenten worden ingesloten in afbeeldingen en tekstbestanden met bestandsnamen als greatloverstory.vbs en easytolove.vbs. Deze campagne, genaamd SteganoAmor, richt zich voornamelijk op sectoren als de industrie, de dienstensector, de publieke sector, de elektriciteitssector en de bouwsector in Latijns-Amerikaanse landen, hoewel ook bedrijven in Rusland, Roemenië en Turkije getroffen zijn.

Andere aanvallen gekoppeld aan Threat Actor TA558

Er is ook waargenomen dat TA558 Venom RAT inzet via phishing-aanvallen gericht op bedrijven in Spanje, Mexico, de Verenigde Staten, Colombia, Portugal, Brazilië, de Dominicaanse Republiek en Argentinië. Deze aanvallen beginnen doorgaans met phishing-e-mails met Microsoft Excel-bijlagen, waarbij gebruik wordt gemaakt van een gepatchte beveiligingsfout (CVE-2017-11882) om een Visual Basic Script te downloaden, wat uiteindelijk leidt tot de uitvoering van Agent Tesla-malware. Naast Agent Tesla kan de aanvalsketen ook FormBook, GuLoader, LokiBot, Remcos RAT, Snake Keylogger en XWorm leveren, allemaal ontworpen voor externe toegang, gegevensdiefstal en secundaire levering van lading.

Om de geloofwaardigheid te vergroten en e-mailgateways te omzeilen, verzendt TA558 phishing-e-mails vanaf gecompromitteerde SMTP-servers en gebruikt het geïnfecteerde FTP-servers om gestolen gegevens op te slaan. Ondertussen heeft een andere groep, door Positive Technologies Lazy Koala genoemd, zich gericht op overheidsorganisaties in Rusland, Wit-Rusland, Kazachstan, Oezbekistan, Kirgizië, Tadzjikistan en Armenië met malware die bekend staat als LazyStealer, gericht op het verzamelen van inloggegevens voor Google Chrome.

Deze activiteit suggereert mogelijke verbindingen met een andere hackgroep, YoroTrooper (ook bekend als SturgeonPhisher), zoals geïdentificeerd door Cisco Talos, op basis van de geografie van het slachtoffer en malware-artefacten.