Campo Loader levererar ytterligare skadlig programvara till japanska offer

Ännu en cyberkampanj riktar sig till användare och organisationer i Japan. Experter misstänker att de skadliga attackerna har ägt rum sedan oktober 2020, men de identifierades och analyserades endast omkring mars 2021. Brottslingar bakom dessa attacker använder ett nytt skadligt implantat spårat under aliaset Campo Loader. Detta hot är utformat för att kringgå grundläggande regler och tjänster för nätverkssäkerhet och sedan distribuera en sekundär nyttolast på det komprometterade nätverket.

Den första infektionsvektorn som brottslingarna förlitar sig på är inte en överraskning - de använder phishing-e-postmeddelanden skrivna på japanska. Vanligtvis uppmanas mottagaren att ladda ner och granska en bilaga. Angriparna har gjort ett försök att lösenordsskydda de bifogade arkiven och lämnar därför användarna intrycket att bilagan innehåller viktig information. När den skadliga filen har laddats ner och startats kommer Campo Loader att planteras i en dold katalog. Det kommer också att ge sig uthållighet genom att ändra Windows-registret utan användarens godkännande.

Hittills har angriparna använt ett brett utbud av sekundära nyttolaster, som tjänar olika syften. Deras planer verkar vara ganska kaotiska, utifrån de typer av skadlig kod som de använder - TrickBot Trojan, Phobos Ransomware, Ursnif och Cobalt Strike. Kriminella använder också en komplicerad uppsättning servrar för att kommandot aktiva implantat. Överraskande nog finns några av servrarna i Japan, men den större delen av dem är spridda över hela världen.

Så, hur skyddar man sig från Campo Loader och liknande skadlig kod? Användare bör aldrig interagera med okända e-postmeddelanden, särskilt om de insisterar på att övertyga dem om att ladda ner och starta en filbilaga. Skadliga e-postbilagor är den mest använda metoden för att sprida skadlig kod, så du bör alltid närma dig oväntade e-postmeddelanden med försiktighet. Dessutom rekommenderas att ditt nätverk skyddas av antivirus- och brandväggsprogram från tredje part, vilket kan förhindra att hot som Campo Loader körs alls. En annan nyligen angripen i regionen involverade SmsSpy Android Malware .