KamiKakaBot riktar sig till asiatiska statliga organ
Under februari 2023 upptäcktes en serie skadliga program som kallas KamiKakaBot av forskare vid EclecticIQ.
Dessa malware-instanser visade sig ha inriktat sig på statliga institutioner i ASEAN-länder. Det observerades att attackerna som ägde rum i februari liknade de som rapporterades av Group-IB i januari 2023, där hotaktörerna använde ISO-bilder för att leverera KamiKakaBot genom DLL-sidoladdningsteknik. I februarikampanjen förbättrades dock förvirringsrutinen för att bättre kunna undvika åtgärder mot skadlig programvara. Genom att identifiera flera överlappningar kunde EclecticIQ-analytiker tillskriva attackerna till gruppen Dark Pink APT, som är aktiv i ASEAN-regionen.
Dark Pink-gruppen tros ha startat sin verksamhet i mitten av 2021 och har ökat sin aktivitet under 2022. KamiKakaBots primära funktion är att stjäla data lagrad i webbläsare, såsom sparade referenser, webbhistorik och cookies. Utvecklarna av KamiKakaBot använder olika tekniker för att förbli oupptäckta medan de utför skadliga åtgärder på infekterade enheter, såsom Living-off-the-Land binärer (LOLBINs) som MsBuild.exe.
Distributionsmetoder för KamiKaka och driftsätt
Nätfiske-e-postmeddelanden används för att distribuera KamiKakaBot, som kommer i form av en skadlig ISO-filbilaga. Den här filen innehåller en legitim Microsoft-signerad WinWord.exe, som utnyttjas för DLL-sidoladdningsteknik. När användaren klickar på WinWord.exe, laddas KamiKakaBot-lastaren (MSVCR100.dll) i samma mapp som WinWord automatiskt in i minnet och körs.
Den skadliga ISO-filen innehåller också ett Word-dokument med en krypterad sektion som är XOR-kodad. KamiKakaBot-lastaren använder den här sektionen för att dekryptera det XOR-kodade innehållet från lockbetsfilen och skriver sedan den dekrypterade XML-nyttolasten från KamiKakaBot till disken (C:\Windows\temp) och exekverar den via en levande-off-the-land-binär, MsBuild.exe.
KamiKakaBot kan extrahera känslig information från webbläsarna Chrome, MS Edge och Firefox, och den stulna informationen komprimeras till ett ZIP-format och skickas till angriparnas Telegram-botkanal. Efter den första infektionen kan angriparen uppgradera skadlig programvara eller köra fjärrkod på den riktade enheten, vilket möjliggör ytterligare aktiviteter efter exploatering. All kommunikation mellan skadlig programvara och ledningscentralen sker via en Telegram-bot som kontrolleras av hotaktören.
