Oprogramowanie ransomware Moneybird wykorzystywane w atakach na izraelskie podmioty

Agrius, irańska grupa hakerska znana również jako Pink Sandstorm, a wcześniej Americium, opracowała nowy rodzaj oprogramowania ransomware o nazwie Moneybird. Badacze CheckPoint odkryli to niebezpieczne złośliwe oprogramowanie, co oznacza znaczącą zmianę w taktyce Agriusa, który teraz atakuje izraelskie organizacje.

Agrius ma historię przeprowadzania destrukcyjnych ataków polegających na wymazywaniu danych na izraelskie podmioty, często podszywając się pod infekcję ransomware. Rozwój Moneybird, zaprogramowanego w C++, pokazuje rosnące umiejętności grupy i ciągłe zaangażowanie w tworzenie nowych narzędzi cybernetycznych.

Co najmniej od grudnia 2020 r. Agrius był zaangażowany w zakłócanie włamań wymierzonych w przemysł diamentowy w Afryce Południowej, Izraelu i Hongkongu. W przeszłości grupa wykorzystywała oprogramowanie ransomware oparte na platformie .NET o nazwie Apostle, które później przekształciło się w Fantasy. Jednak Moneybird, napisany w C++, demonstruje ewoluujące możliwości cybernetyczne grupy.

Moneybird - Rozmnażanie i aktywność

Operacja ransomware Moneybird pokazuje rosnącą wiedzę techniczną Agrius i zaangażowanie w opracowywanie nowych narzędzi cybernetycznych. Wykorzystuje wyrafinowaną metodologię ataku, która rozpoczyna się od wykorzystania luk w publicznie dostępnych serwerach WWW. Ta wstępna eksploatacja umożliwia wdrożenie powłoki internetowej ASPXSpy, która służy jako pierwszy punkt wejścia do sieci docelowej organizacji.

Po wejściu do środka powłoka internetowa działa jako kanał komunikacyjny dostarczający zestaw dobrze znanych narzędzi zaprojektowanych do dogłębnego rozpoznania, ruchu bocznego, zbierania danych uwierzytelniających i eksfiltracji poufnych danych w środowisku ofiary.

Następnie ransomware Moneybird jest wdrażane na zaatakowanym hoście i w szczególności obiera za cel wrażliwe pliki w folderze „F:\User Shares”. Po wykonaniu oprogramowanie ransomware pozostawia żądanie okupu, zmuszając ofiary do nawiązania kontaktu w ciągu 24 godzin lub zaryzykowania upublicznienia skradzionych danych.

Moneybird wykorzystuje AES-256 z GCM do szyfrowania, wykorzystując wyrafinowaną technikę, która generuje unikalne klucze szyfrowania dla każdego pliku. Zaszyfrowane metadane są dołączane na końcu każdego pliku, co sprawia, że przywracanie i odszyfrowywanie danych jest w większości przypadków bardzo trudne, jeśli nie niemożliwe.

Co to są zaawansowane trwałe czynniki zagrażające lub APT?

Advanced Persistent Threat Actors (APT) to wyrafinowani i wysoko wykwalifikowani aktorzy lub grupy hakerskie, które przeprowadzają długoterminowe, ukierunkowane ataki cybernetyczne na określone organizacje, często przy wsparciu państw narodowych lub dobrze wyposażonych podmiotów. APT charakteryzują się zaawansowanymi technikami, wytrwałością i intencją infiltracji i narażania docelowych systemów przez dłuższy czas, często pozostając niewykrytymi.

Oto kilka kluczowych cech i cech związanych z APT:

• Zaawansowane techniki: Aktorzy APT wykorzystują zaawansowane techniki hakerskie, w tym exploity zero-day, niestandardowe złośliwe oprogramowanie, rootkity i wyrafinowane taktyki inżynierii społecznej. Stale rozwijają swoje metody obchodzenia środków bezpieczeństwa i utrzymywania dostępu.
• Wytrwałość: APT są zdeterminowane, aby osiągnąć swoje cele i utrzymać długoterminową obecność w zaatakowanych systemach. Mogą ustanawiać wiele punktów wejścia, tworzyć tylne drzwi i wykorzystywać ukryte kanały komunikacji, aby zachować wytrwałość.
• Ataki ukierunkowane: APT koncentrują się na określonych celach, takich jak agencje rządowe, kontrahenci z branży obronnej, infrastruktura krytyczna, instytucje badawcze lub międzynarodowe korporacje. Przeprowadzają dokładny rekonesans w celu zebrania danych wywiadowczych i dostosowania ataków do wykorzystania określonych luk w infrastrukturze celu.
• Wsparcie państwa narodowego: APT są często kojarzone z państwami narodowymi lub podmiotami sponsorowanymi przez państwo, poszukującymi korzyści politycznych, ekonomicznych lub militarnych. Mogą dysponować znacznymi zasobami, zdolnościami wywiadowczymi i ochroną prawną, co pozwala im na prowadzenie szeroko zakrojonych i długotrwałych kampanii.
• Eksfiltracja danych: głównym celem APT jest eksfiltracja cennych danych, w tym własności intelektualnej, tajemnic handlowych, informacji niejawnych lub danych osobowych (PII). Skradzione dane mogą zostać wykorzystane do szpiegostwa, korzyści ekonomicznych, przewagi konkurencyjnej lub przyszłych operacji cybernetycznych.
• Tajne operacje: APT traktują priorytetowo utrzymywanie niskiego profilu i unikanie wykrycia. Wykorzystują wyrafinowane techniki unikania, takie jak środki antykryminalistyczne, szyfrowanie i zaciemnianie, aby ukryć swoją działalność i obejść systemy bezpieczeństwa.

Przykłady dobrze znanych grup APT obejmują APT29 (znany również jako Cosy Bear lub The Dukes), APT28 (znany również jako Fancy Bear lub Sofacy), Equation Group, Comment Crew i Lazarus Group.