Распространение вредоносного ПО SSLoad в рамках фишинговой кампании
Эксперты по безопасности определили текущую стратегию атаки, в которой используются фишинговые электронные письма для распространения вредоносного ПО, известного как SSLoad. Эта кампания, получившая название FROZEN#SHADOW от Securonix, включает в себя развертывание программного обеспечения для удаленного рабочего стола Cobalt Strike и ConnectWise ScreenConnect.
По мнению исследователей, SSLoad спроектирован так, чтобы незаметно проникать в системы, собирать конфиденциальные данные и отправлять их обратно своим операторам. Попав внутрь системы, SSLoad устанавливает несколько бэкдоров и полезных данных, чтобы оставаться незамеченными и постоянными.
Атака начинается с фишинговых сообщений, беспорядочно рассылаемых организациям в Азии, Европе и Америке. Эти электронные письма содержат ссылки, ведущие на файлы JavaScript, которые инициируют процесс заражения.
SSLoad использует два разных пути распространения
Palo Alto Networks недавно обнаружила два метода распространения SSLoad. Один из них предполагает встраивание вредоносных URL-адресов в контактные формы веб-сайта, а другой использует документы Microsoft Word с поддержкой макросов. Последний метод примечателен тем, что он не только распределяет SSLoad, но и облегчает доставку Cobalt Strike. Между тем, первый использовался для распространения другого вредоносного ПО под названием Latrodectus, потенциально пришедшего на смену IcedID.
Обфусцированный файл JavaScript («out_czlrh.js») извлекает файл установщика MSI («slack.msi») из общего сетевого ресурса и выполняет его. Затем установщик MSI связывается с доменом, контролируемым злоумышленником, чтобы загрузить и выполнить полезную нагрузку вредоносного ПО SSLoad. Эта полезная нагрузка взаимодействует с сервером управления и контроля, предоставляя информацию о скомпрометированной системе.
Как только первоначальная разведка будет завершена, будет развернут Cobalt Strike. Это законное программное обеспечение используется для загрузки и установки ScreenConnect, что позволяет злоумышленникам удаленно управлять хостом. Имея полный доступ к системе, злоумышленники стремятся получить учетные данные и другие важные сведения о системе, сканируя сохраненные учетные данные и конфиденциальные документы.
Было замечено, что злоумышленники расширяли свой доступ внутри сети, в том числе к контроллеру домена, и в конечном итоге создали собственную учетную запись администратора домена. Такой уровень доступа позволяет им проникнуть в любую подключенную машину в домене, что представляет собой серьезную проблему для организаций при устранении проблем.
