עדכון שבועי 30.06.2022

חברת ClearSky גילתה נוזקה חדשה המקושרת לקבוצת התקיפה האיראנית Lyceum 

בדוח שפרסמה חברת הסייבר מופיע מידע מפורט אודות נוזקת Lyceum suicide drone, המיוחסת לקבוצת התקיפה האיראני, שידועה גם בשם SiameseKitten. הנוזקה מתחזה לקובץ עדכון של Adobe, דפוס פעולה אשר נצפה בעבר בקרב אותה קבוצת תקיפה. Lyceum suicide drone מכילה קוד המבצע התחברות של העמדה הנגועה אל שרת הפיקוד והשליטה (C2) של התוקפים באמצעות Reverse Shell, והיא מופעלת על ידי קובץ אב שחתום בחתימה מזויפת של חברת מיקרוסופט ונושא תאריך יצירה מזויף (בשנת 2044) בכדי להתחמק מגילוי. 

חתימות קבצים מזויפות בשמה של מיקרוסופט גם הן דפוס פעולה שנצפה בעבר בקרב קבוצות איראניות. לצד הורדת קובץ ה-PDF של Adobe, מורד קובץ EXE אשר מופעל ומוסיף עצמו אל נתיב ה-Startup באמצעות הכנסת ערך לנתיב זה, על מנת לבסס את אחיזתו בעמדה. במסמך ה-PDF שבאמצעותו מפותה הקורבן להוריד את קובץ ה-EXE מוצגות מתקפות של מזל״טים מתאבדים, לכאורה, שבוצעו באיראן נגד מטרות פנים-מדינתיות, והוא דומה למסמך בו השתמשה בעבר קבוצת SiameseKitten. על קווי הדמיון הללו סייעו בידי החוקרים לקשר בין קבוצת התקיפה לבין הנוזקה החדשה. Lyceum suicide drone מורדת מאתר שהדומיין שלו נרשם ב-6 ביוני ומתקשרת עם שרת C2 מרוחק שאינו מוכר. כתובת ה-IP של האתר (83.39.149.19) צמודה לזו של הדומיין (89.39.149.19), דבר המעיד על כך שלתוקפים יש לפחות שתי כתובות באותו טווח כתובות, אחת עבור שרת ה-C2 ואחת עבור האתר.

צוות קונפידס ממליץ להזין את מזהי הנוזקה (IOCs) במערכות ההגנה של ארגונים, להיזהר מלחיצה על לינקים חשודים ולהימנע מלהוריד קבצים מאתרים שאינם מוכרים.

​

ה-CISA מזהירה מפני החולשה המנוצלת Polkit

החולשה (CVE-2021-4034, CVSS 7.8) רלוונטית למערכות מבוססות Linux, ועל פי הסוכנות האמריקאית להגנת סייבר ותשתיות עלולה לאפשר לתוקף להעלות הרשאות במערכת. החולשה מצויה בכלי השירות pkexec של חבילת ה-Polkit, המאפשר למשתמש להוציא פקודות כמשתמש אחר, עם הרשאות גבוהות יותר, כל זאת בהתאם למדיניות שהוגדרה מראש על ידי Polkit. גרסת ה-pkexec הפגיעה מאפשרת לתוקף להגדיר את משתני הסביבה כך שהכלי יתייחס אליהם כפקודה, ולא כמשתנה בלבד, מה שיאפשר הרצת קוד על העמדה. ניצול מוצלח של החולשה עלול לאפשר למשתמש מקומי ללא הרשאה ייעודית במדיניות Polkit לקבל הרשאות גבוהות בתחנת היעד.

​

חבילות Python זדוניות אשר גונבות מפתחות AWS וחושפות אותם לציבור התגלו במאגר PyPI 

בהמשך לניסיונות ניצול קודמים של המאגר באמצעות חבילות זדוניות (ראו ״הסייבר״, 11.2.21 ו״הסייבר״, 5.8.21), ניצול חדש התגלה כעת במאגר חבילות הקוד הפתוח, הפופולרי בקרב מפתחי תוכנה לצורכי פרויקטים מבוססי Python. לאחרונה זיהתה חברת ניהול שרשרת אספקת התוכנה Sonatype חבילות Python זדוניות מרובות במאגר, ודיווחה עליהן ל-PyPI, שהסירה אותן. חלק מהחבילות הטמיעו קטעי קוד שנוצרו לצורך קריאה וחילוץ של מידע רגיש, כמו מפתחות AWS. לדברי החברה, שתיים מהחבילות - loglib-modules ו-pyg-modules - התחזו בשמותיהן לחבילות לגיטימיות ומוכרות, וכנראה כוונו למפתחים המכירים ומשתמשים בספריות המקוריות, loglib ו-pyg. באשר לשאר החבילות, pygrata-utils ו-hkg-sol-utils, לא ברור מיהו קהל היעד אליו כוונו. מניתוח הקוד הזדוני של החבילות loglib-modules ו-pygrata-utils עולה שקטעים מתוכו מיועדים לקריאת מפתחות AWS ומידע על ממשקי רשת ועל משתני סביבה. עוד עולה כי התוקף משתמש בכתובות לגיטימיות של Amazon להשגת מידע אודות ה-IAM role אשר מנהלים את האישורים של ה-Instance של הקורבן. בשלב מאוחר יותר מתבצעת העלאה של הנתונים הרגישים שנחשפו לנקודת קצה המתארחת בדומיין PyGrata ומפיצה אותם כך שיהיו נגישים לכל דורש. חוקרי Sonatype, שגילו מאות קבצי TXT המכילים נתונים רגישים, פנו למפעיל הדומיין בכדי לשלול טעות אנוש או בדיקות אבטחה לגיטימיות, אך נותרו ללא תשובה. עם זאת, לאחר פנייתם הפכה נקודת הקצה שמפיצה את קבצי ה-TXT לבלתי נגישה לציבור. בשלב זה טרם ברור אם מפתחות ה-AWS נחשפו בזדון או לא, ולא ידועה כוונתם של מפעילי הדומיין.
צוות קונפידס ממליץ למפתחים לגלות ערנות לפני הורדת חבילות ולבדוק את היסטוריית השחרור, תאריך ההעלאה, התיאור וכמות ההורדות של החבילות, נתונים אשר יש ביכולתם לשפוך אור על אמינותן.

​

מתקפת הנדסה חברתית מתוחכמת משתמשת באפליקציות WebView2 של מיקרוסופט לעקיפת מנגנון התחברות רב-שלבי

Microsoft Edge WebView2 מאפשרת הטמעת דפדפן אינטרנט עם תמיכה מלאה ב-HTML ,CSS ו-JavaScript ישירות באפליקציות מקוריות באמצעות (Microsoft Edge (Chromium כמנוע העיבוד. באמצעות טכנולוגיה זו, יישומים יכולים לטעון כל אתר לאפליקציה מקורית ולגרום לו להופיע כפי שהיה נפתח ב-Microsoft Edge.

השבוע פרסם חוקר אבטחת הסייבר mr.d0x שיטת פישינג חדשה שיצר, המשתמשת ביישומי Microsoft Edge WebView2 לגניבה פשוטה של קובצי עוגיות של אימות של משתמש על מנת להיכנס לחשבונות גנובים, גם אם הם מאובטחים באמצעות אימות רב-שלבי (MFA). מתקפה חדשה זו, המכונה WebView2-Cookie-Stealer, מתבססת על קובץ הפעלה של WebView2, שבהיפתחו מופיע טופס התחברות לגיטימי לאתר אינטרנט בתוך האפליקציה. הקובץ מאפשר למפתח לגשת ישירות אל העוגיות ולהחדיר JavaScript לדף האינטרנט שנטען על ידי אפליקציה, מה שהופך אותו לכלי מצוין להתקנת Keylogger, לגניבת עוגיות ולשליחתן לשרת מרוחק. במתקפתה החדשה שיצר mr.d0x, קובץ ההפעלה פותח טופס ההתחברות לגיטימי של מיקרוסופט באמצעות פקד ה-WebView2 המוטמע. מכיוון שיישום ה-WebView2 יכול להחדיר JavaScript לדף, כל מה שהמשתמש מקליד נשלח חזרה באופן אוטומטי לשרת האינטרנט של התוקף.

לדברי mr.d0x, לשם גניבת העוגיות יוצרת האפליקציה תיקיית Chromium User Data עם הפעלתה הראשונה, ולאחר מכן משתמש היישום הזדוני בממשק ה-WebView2 המובנה ICoreWebView2CookieManager לייצוא קובצי העוגיות של האתר עם אימות מוצלח ושליחתם בחזרה אך שרת הנשלט על ידי התוקף. עם פענוח העוגיות המקודדות בשיטת base64, התוקף מקבל גישה מלאה לעוגיות האימות של האתר והוא יכול להשתמש בהן לכניסה לחשבון משתמש. עוד מצא החוקר שניתן להשתמש באפליקציית WebView2 לגניבת עוגיות עבור פרופיל משתמש קיים של Chrome, על ידי העתקת פרופיל Chromium הקיים שלו. כדי להשתמש בעוגיות שנגנבו, התוקף יכול לפנות לטופס ההתחברות של חשבון שגנב ולייבא את העוגיות באמצעות תוסף Chrome, כדוגמת EditThisCookie. לאחר שהעוגיות מיובאות, כל שיש לעשות הוא לרענן את הדף כדי לעבור אימות אוטומטי באתר. ואולם, הפרט המדאיג יותר במתקפה הוא היכולת לעקוף גם MFA המאובטח על ידי OTPs או מפתחות אבטחה, מכיוון שהעוגיות נגנבות לאחר שהמשתמש נכנס ופתר בהצלחה את אתגר האימות הרב-שלבי.

צוות קונפידס ממליץ להימנע מפתיחת צרופות שאינן מוכרות, ובמיוחד קובצי הפעלה, לסרוק קבצים המורדים מהאינטרנט ולא להזין שמות משתמש וסיסמאות ביישומים שאין ודאות בנוגע ללגיטימיות שלהם.

​

קבוצת התקיפה ToddyCat משתמשת בכלי ריגול מתוחכמים לתקיפת מתקנים ממשלתיים

ככל הנראה, קבוצת ה-APT אחראית למספר תקיפות שהתמקדו בשרתי Microsoft Exchange המיוחסים למתקנים ממשלתיים וצבאיים ברחבי אסיה ואירופה. על פי החשד, התקיפות החלו בדצמבר 2020, כאשר משנת 2021 נצפה במסגרתן שימוש בחולשת CVE-2021-26855, CVE-2021-27065) ProxyLogon). בהמשך נוספו למטרות הקמפיין מחשבים של דיפלומטים וישויות ממשלתיות שנפגעו בעקבות שליחת הנוזקה לקורבנות דרך הטלגרם. על פי הידוע עד כה, בין דצמבר 2020 לפברואר 2021 הקבוצה תקפה מספר מצומצם של שרתים של שלושה ארגונים בטייוואן ו-ויאטנם. מסוף פברואר 2021 ניכרו הסלמה בתקיפות וניצול של חולשת ProxyLogon.

על פי חברת אבטחת המידע Kaspersky, קבוצת התקיפה משתמשת בכלי הריגול Samurai, שהינו דלת אחורית המאפשרת לתוקף שליטה מרחוק ותנועה רוחבית ברשת הנתקפת, וכן בכלי Ninja Trojan, המאפשר שליטה מרחוק לכמה תוקפים בו-זמנית ללא צורך בהזדהות במערכת, ותוך ביסוס אחיזה בה לאורך זמן. בשעה זו ידוע כי התקיפה מבוצעת במספר שלבים:​

1. נוזקת Dropper מותקנת במערכת הקורבן באמצעות שימוש בחולשת ProxyLogon, המאפשרת לתוקף לעקוף את מנגנון ההזדהות ולקבל גישה ברמת אדמין. הנוזקה מתקינה את כל האמצעים הדרושים ויוצרת מפתחות רישום המאלצים את התהליך הלגיטימי svchost.exe להפעיל את כלי הריגול Samurai. 

2. מפתחות הרישום מאלצים את התהליך svchost.exe לטעון ספרייה זדונית, הקוראת לייצוא init ב-DLL הנטען (websvc.dll), תוך העברת התוכן של מפתח הרישום.

3. קובץ ה-websvc.dll מפענח את הנתונים שהתקבלו ויוצר ספרייה נוספת הנטענת בזיכרון ומועברת לספרייה חדשה.

4. שימוש בכלי הריגול Samurai,  אשר יוצר דלת אחורית.

מ-Kaspersky נמסר כי מאחורי ToddyCat עומדים תוקפים בעלי יכולות טכניות גבוהות, המסוגלים לשוטט ״מתחת לרדאר״, תוך סלילת דרכם אל מערכות הקורבן, וכי הדרך הטובה ביותר להתמודד עם איום זה היא באמצעות הגנה מבוססת שכבות וערנות רבה למקורות מודיעיניים. את מזהי התקיפה (IOCs) להזנה במערכות ארגונים ניתן למצוא כאן, וניתן לזהותה באמצעות ניטור רשת הארגון. 
צוות קונפידס ממליץ לעדכן באופן תדיר את שרתי ה-Exchange של הארגון ולבצע ניטור של רשתותיו.

​

קבוצות APT ממשיכות לנצל את חולשת Log4Shell, שפורסמה ב-2021

הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) ופיקוד הסייבר של משמר החופים הוציאו התרעה משותפת נוספת בנוגע לניצול החולשה הקריטית (10.0 CVE-2021-44228, CVSS) על ידי תוקפים במוצר VMware Horizon ובשרתי UAG. החולשה, שפורסמה כבר בדצמבר 2021 וקיבלה את ציון החומרה הגבוה ביותר האפשרי, ניתנת לניצול במוצרים אלה כאשר הם פונים כלפי חוץ, ורק אם לא הוטמעו בהם עדכון האבטחה או המעקף הנדרשים על ידי היצרן. על ידי ניצול החולשה יכולים התוקפים לשלוח למערכת פגיעה בקשה ייעודית המאפשרת להריץ קוד זדוני, ובהמשך להשיג שליטה במערכת. פרסומה של ההתרעה בפעם השנייה נעוץ בכך שבחודשים האחרונים נצפה שימוש בחולשה על ידי קבוצות APT, שכלל הנחת נוזקות שאיפשרו, בין היתר, שליטה בעמדה פגועה באמצעות שרת מרוחק (C2). באחד מהמקרים המאומתים שנצפו הצליחה קבוצת APT לנוע רוחבית ברשת הקורבן, להשיג גישה לרשת גיבוי ולאסוף ולייצא מידע רגיש. עוד דווח על שימוש בקובץ EXE שלאחר הרצתו מסווה את פעילותו כ-Service לגיטימי של Windows, הפועל בעמדה עם הרשאות גבוהות, תוך יצירת משימה מתוזמנת המריצה את הנוזקה מדי שעה. טרם התברר כיצד הצליחו התוקפים להשיג את אותן הרשאות. במקרה נוסף שדווח עלה בידי התוקפים לנוע רוחבית ברשת תוך שימוש ב-RDP, לעבר עמדות בסביבת פרודקשן. 

צוות קונפידס ממליץ להטמיע בדחיפות את עדכוני האבטחה או המעקפים שפורסמו על ידי היצרן, ולבצע חקירה באמצעות ה-IOCs המופיעים כאן, על מנת לגלות אם כבר מתקיימת פעילות זדונית בעמדות שמשתמשות במוצרים הפגיעים. אם זוהתה פגיעה בעמדה, יש לבודד אותה, לבצע חקירה ראשונית של לוגים ושל מידע נוסף, ובהמשך לפנות לצוות ניהול משברי סייבר. עוד מומלץ לדווח על המקרה ל-CISA בפרטי הקשר שצוינו לעיל. על מנת להתגונן מפני המתקפה, יש להטמיע את מזהי התקיפה במערכות ההגנה של הארגון, לבצע סגמנטציה נכונה לעמדות שפונות החוצה, להטמיע WAF בארגון, להשתמש באימות רב-שלבי (MFA) ובסיסמאות חזקות ולהטמיע ניהול נכון של הרשאות לכל משתמש. כמו כן, יש להשתמש במערכת לניהול והטמעת עדכוני אבטחה באופן שוטף, כדוגמת Automox, המוצעת על ידי חברת קונפידס. 

​

תקיפה מתוחכמת נגד ראוטרים מסוג SOHO

חוקרי אבטחת מידע מחברת Lumen חשפו את מה שנראה כעת כחלק קטן ממתקפת APT המיוחסת לקבוצת תקיפה סינית, שזהותה טרם ידועה. המתקפה מנצלת את המעבר לעבודה מרחוק בתקופת הקורונה ומתבססת על השימוש בראוטרים מסוג SOHO (או Small Office/Home Office), שעדכון הקושחות שלהם וניטור פעילותם מתבצעים לעיתים נדירות, אם בכלל. דבר זה אפשר לקבוצת התקיפה להשיג גישה לרשתות פנימיות של ארגונים, לבצע בהן אנומרציה, לבסס אחיזה במכשירים שונים ועוד. חוקרים Lumen אספו נתונים רבים הנוגעים לניצול החולשה בראוטרים של החברות Cisco ,NetGear ,Asus ו-DrayTek, וקבעו כי המתקפות מתמקדות בארגונים בצפון אמריקה ובאירופה. למרות שעד כה נצפו כ-80 ארגונים שהושפעו מהמתקפה, ההערכות הן שמדובר בתקיפה שהיקפה רחב הרבה יותר. להלן שלבי התקיפה:

א. שימוש באוטומציה לניצול חולשה בראוטר ה-SOHO, לשם קבלת גישה ראשונית לארגון. בנוגע לשלב זה הצליחו החוקרים לקבל גישה רק לסקריפט אחד המנצל חולשות (CVE-2020-26878 ו-CVE-2020-26879) בראוטר של חברת JCG. במקרה של ראוטר זה, הסקריפט מאפשר הזרקת שורת פקודה שהפלט שלה מספק לתוקפים פרטי הזדהות מסוימים, אותם הם מנצלים לעקיפת האימות ולמעבר לשלב השני של המתקפה.

ב. בשלב השני מותקנת על הראוטר ZuoRAT, נוזקה המאפשרת ביצוע אנומרציה של רשת הארגונית והטמעת חוקים המאפשרים לתוקפים לראות את כלל התעבורה המתבצעת בארגון וממנו. להערכת החוקרים, מדובר בגרסה משודרגת משמעותית של נוזקת Mirai. ברגע שהנוזקה מתחילה לרוץ, נפתח בראוטר תהליך חדש ששמו בנוי מ-32 אותיות ומספרים רנדומליים, והנוזקה מתחברת לשרת השליטה והבקרה (C2) שברשות התוקפים. בתהליך מועברת לתוקפים כתובת ה-IP החיצונית של הראוטר, ובמידה וזו אינה עוברת בהצלחה, הנוזקה מוחקת את עצמה כדי להימנע מגילוי (אם איננה רצה על Sandbox). זאת ועוד, ביכולתה של הנוזקה לזהות אם נוזקה זהה כבר רצה על הראוטר ולמחוק את העותק המיותר. בשלב זה הנוזקה מבצעת סריקה של הפורטים ברשת ומעבירה לתוקפים דיווח על פורטים פתוחים. מלבד זאת, היא מנטרת חיבורים בפורטים 20, 21, 80, 8080, 443 ו-8443, ומעבירה לתוקפים את פרטי הגישה השונים המוזנים בהם, על מנת להעניק להם הצצה לפעילות הדפדפן של משתמש הקצה העושה שימוש בראוטר.

ג. הטמעת קובץ Loader במחשבי/שרתי Windows, המתקין נוזקה (CBeacon ,GoBecaon או Cobalt Strike) שמאפשרת לתוקפים שליטה מלאה על תחנות ה-Windows ב-LAN באמצעות שרת ה-C2 של התוקפים. כדי למנוע זיהוי של קובץ ה-Loader, התוקפים העניקו לו סרטיפיקט של חברת הטכנולוגיה הסינית Tencent.

ד. בשלב זה מותקן בפועל אחד מהכלים שנזכרו בשלב הקודם, שניים מהם נבנו בצורה מקוסטמת (נכתבו בשפות ++C ו-Go) על ידי התוקפים, ובין היתר מאפשרים הורדה והעלאה של קבצים, הזרקת תהליכים למחשב, ביצוע אנומרציה במכשיר ומתקפות Man-in-the-middle.

החוקרים מייחסים את התקיפה לשחקן סיני, היות והתקשורות שהתבצעו מהראוטרים השונים פנו לכתובות IP סיניות. כמו כן, בניתוח הנוזקות זיהו החוקרים שמות ואותיות סיניים. עוד זוהו מספר ראוטרים של קורבנות ששימשו כ-Proxy C2, כלומר כגורם מתווך המעביר מידע של ראוטרים נגועים אל שרת ה-C2, ככל הנראה במאמץ להסוות את כתובתו של שרת ה-C2 המקורי.

החוקרים ממליצים למשתמשים בשרתים מסוג SOHO לנקוט בפעולות הבאות: א. לבצע איתחולים ועדכוני קושחה לראוטרים באופן תדיר. ב. להתקין EDR על העמדות הנמצאות באותה רשת. ג. להטמיע פתרון SASE, המספק לבעלי עסקים שקיפות על המתרחש ברשת ואופציה להגדיר מדיניויות אבטחה שונות, שיסייעו למיגור התקיפה. ד. להזין בשכבות ההגנה של הארגון את האינדיקטורים לתקיפה של קובץ ה-Windows Loader, המצויים כאן.

​

​

​

​

​

​

​

​

​

​

​

​

​

​

(מקור: Lumen, 28.6.22)

​

Raccoon Stealer הפופולרית שבה לפעילות - הפעם בגרסה משופרת

נוזקת גניבת המידע, המופצת על ידי התחזות לתוכנות לגיטימיות או גרסאות Crack של תוכנות מוכרות, ושכיחה בשימוש בקרב פושעי סייבר בשל הדינמיות המאפיינת אותה, חוזרת אל הזירה לאחר הפסקה בת שלושה חודשים, שככל הנראה נגרמה בשל מותו של אחד ממפתחיה במלחמה באוקראינה. פרויקט ה״נוזקה כשירות״ (Malware-as-a-Service, או MaaS), שלפי פרסומי המפתחים בפורום XSS סיים את שלב הבטא של גרסתו השנייה, עתיד להיות מופץ בשבועות הקרובים בגרסה משופרת ומשוכללת, אשר תכלול, בין היתר, איסוף מידע בסיסי על מחשב הקורבן, גניבת סיסמאות, עוגיות, מידע הממולא באופן אוטומטי ופרטי אשראי מהדפדפן, גניבת מידע משלל ארנקי קריפטו דיגיטליים, בהם MetaMask ,Exodus ו-BinanceChain, גניבת קבצים ספציפיים מהמכונה וקבלת צילומי מסך ורשימת תוכנות המותקנות עליה. בדוח שפרסמה בנושא חברת SEKOIA, הכולל IOCs של ה-Stealer, מצוין כי לנוזקה חסרות עדיין יכולות ״התגנבות״ ובריחה מתוכנות הגנה, וכי נראה שהמפתחים התמקדו בשיפור ביצועי ותפוקת המוצר. עוד מופיעים בדוח TTPs של MITRE ATT&CK, מזהי נוזקה (IOCs) וכתובות IP שתועדו מתקשרות עם שרתי ה-C2 של התוקפים.

צוות קונפידס ממליץ לנטר ולהתגונן מפני Racoon Stealer על ידי הטמעה של מערכת EDR בארגון ועדכון ה-IOCs של הנוזקה במערכותיו. לפרטים נוספים חייגו לחמ״ל הסייבר של ״קונפידס״ 8272*.

​

קבוצת התקיפה Evilnum מציגה טקטיקות ויעדים חדשים

מאז תחילת 2022, צוות המחקר ThreatLabz של חברת Zscaler עקב מקרוב אחר פעילותה של קבוצת התקיפה Evilnum. בדוח שפרסם כעת בנושא עולה כי עודכנו הטקטיקות והנהלים המשמשים את הקבוצה בקמפייני התקיפה שלה. ההבדל העיקרי שנצפה הוא שבעוד שבקמפיינים מ-2021 וקטור התקיפה המוביל התבסס על קבצי קיצור דרך (LNK) של Windows, שהיו דחוסים ב-ZIP והועברו לקורבנות דרך מיילי פישינג, לאחרונה נראה כי הקבוצה החלה להשתמש במסמכי Office להעברת מטען זדוני היוצר תקשורת עם שרת השליטה והבקרה (C2) של התוקפים. דבר זה מבוצע על ידי הזרקת תבניות שיכולה להתקיים במסמכים מבוססי מאקרו, כאשר למשתמש מופיע הדבר בצורת תבנית מזויפת של מיקרוסופט ובקשה לבצע Enable לקובץ. עוד נעשה שימוש בטכניקת VBA Stomping של הקוד, על מנת להתחמק מניתוח סטטי ולהקשות על ביצוע הנדסה הפוכה לנוזקה. דבר נוסף שנצפה הוא שימוש בקוד JavaScript מעורפל מאוד לפענוח והורדת המטענים הזדוניים העיקריים לנקודת הקצה, כאשר שמות הקבצים והתהליכים נבחרו בקפידה על ידי קבוצת התקיפה והתחזו לשמות של קבצים לגיטימיים של Windows ושל תוכנות אחרות. זאת ועוד, לשם ביסוס אחיזה במערכת, אף הוגדרה משימה מתוזמנת להרצת הנוזקה. לדברי ThreatLabz התגלו מספר דומיינים השייכים לקבוצת התקיפה שלא היו ידועים בעבר, מה שמצביע על כך שהיא הצליחה להישאר מתחת לרדאר משך זמן רב. נוסף על כל אלה, התגלה שבכל קמפיין חדש של Evilnum נרשמו שמות דומיינים חדשים המכילים מילות מפתח ספציפיות שקשורות ליעדי התקיפה, על פי ענף התעשייה הרלוונטי. אם בעבר מרבית קורבנות הקבוצה היו מתחום הפינטק, ובעיקר חברות העוסקות במסחר בבריטניה ובאירופה, במרץ 2022 בוצעה מתקפה כלפי ארגון בין-ממשלתי העוסק בשירותי הגירה בינלאומיים, ככל הנראה על רקע הסכסוך בין רוסיה לאוקראינה.

צוות קונפידס ממליץ להטמיע במערכות ההגנה של ארגונים את האינדיקטורים שפורסמו בדוח ולהימנע מהורדת צרופות ממקורות שאינם ידועים.

​

​

​

​

​

​

​

​

​

​

​

​

(מקור: Zscaler, 27.6.22)

​

Revive: נוזקת Android משופרת המצותתת לכל הודעות המשתמש במטרה לגנוב אמצעי זיהוי

צוות מומחי אבטחת הסייבר TIR של Cleafy גילה לאחרונה את הנוזקה הבנקאית החדשה Revive, אשר מחקה אפליקציית אימות דו-שלבי (2FA) באמצעותה מחויבים להזדהות משתמשים בספרד המבקשים להיכנס לחשבונותיהם בבנק BBVA. נוזקה זו מבוססת על טרויאני בנקאי קודם, אשר בגרסתו החדשה מתמקד בבנק הספציפי, במקום להדביק ארגונים פיננסיים רבים בו-זמנית. למרות שנוזקת Revive מצויה בשלב הבטא המוקדם שלה, היא כבר מפגינה יכולות מתקדמות, כמו יירוט קודים של 2FA ויירוט OTPs (סיסמה חד-פעמית). אופן פעולתה של הנוזקה מבוסס על הטעיית הנרשמים, המאמינים כי הם מתחברים לכלי 2FA, האמור לסייע להם באבטחת חשבונות הבנק שלהם.  Revive מצדה מבקשת את אישור המשתמשים בעת התקנת הכלי, ובכך מקבלת מספר יכולות, כגון שליטה מלאה על המסך, ביצוע הקשות מסך ופעולות ניווט. עם הפעלתה הראשונה של האפליקציה, המשתמש מתבקש לאפשר לה גישה להודעות SMS ולשיחות טלפון, במה שנראה כבקשת הרשאה רגילה מטעם אפליקציית שירות המשתמשת ב-MFA על מנת כדי לספק בקרת גישה. לאחר מכן התוכנה פועלת ברקע כ-Keylogger, אשר מקליט את כל הקלדות המשתמש במכשיר ומדי פעם שולח את הנתונים שאסף לשרת השליטה והבקרה (C2) של התוקפים. במסך המופיע לאחר מתן הרשאת הגישה להודעות ולשיחות, מציגה הנוזקה דף בית גנרי, בו שורה של קישורים המפנים את המשתמש לאתר הלגיטימי של הבנק. בשלב זה טרם ברורות יכולותיה המלאות של הנוזקה וכיצד שחקני איום ישפרו את יכולותיה.