Bumblebee се разпространява с Google Ads и SEO отравяне

Зловредният софтуер Bumblebee, насочен към предприятия, се разпространява чрез реклами в Google и SEO отравяне, които популяризират популярен софтуер като Zoom, Cisco AnyConnect, ChatGPT и Citrix Workspace.

Bumblebee е злонамерен зареждащ софтуер, открит през април 2022 г., за който се смята, че е разработен от екипа на Conti като заместител на задната врата BazarLoader, използвана за получаване на първоначален достъп до мрежи и провеждане на атаки с цел откуп.

През септември 2022 г. в дивата природа е наблюдавана нова версия на зареждащия зловреден софтуер, включваща по-скрита верига от атаки, която използва рамката PowerSploit за отразяващо инжектиране на DLL в паметта.

Изследователите от Secureworks наскоро откриха нова кампания, използваща реклами в Google, които популяризират троянски версии на популярни приложения, за да доставят зареждащия зловреден софтуер на нищо неподозиращи жертви.

Скриване в популярни приложения

Една от кампаниите, забелязани от Secureworks, започва с реклама в Google, която популяризира фалшива страница за изтегляне на Cisco AnyConnect Secure Mobility Client, създадена на 16 февруари 2023 г. и хоствана на домейн „appcisco[.]com“.

„Веригата от инфекции, която започна със злонамерена реклама в Google, изпрати потребителя до тази фалшива страница за изтегляне чрез компрометиран сайт на WordPress“, се обяснява в доклада на SecureWorks.

Тази фалшива целева страница популяризира троянски MSI инсталатор на име „cisco-anyconnect-4_9_0195.msi“, който инсталира зловредния софтуер BumbleBee.

При изпълнението му на компютъра на потребителя се копират копие на легитимния инсталатор на програмата и скрипт на PowerShell с измамно име (cisco2.ps1).

CiscoSetup.exe е легитимният инсталатор за AnyConnect, който инсталира приложението на устройството, за да избегне подозрения.

Скриптът PowerScrip обаче инсталира зловредния софтуер BumbleBee и извършва злонамерена дейност на компрометираното устройство.

„Скриптът PowerShell съдържа селекция от преименувани функции, копирани от скрипта PowerSploit ReflectivePEInjection.ps1“, обяснява Secureworks.

„Той съдържа и кодиран полезен товар на зловреден софтуер Bumblebee, който се зарежда рефлективно в паметта.“

Това означава, че Bumblebee все още използва същия модул на рамката след експлоатирането, за да зареди зловредния софтуер в паметта, без да предизвиква никакви аларми от съществуващите антивирусни продукти.

Secureworks откри и други софтуерни пакети с двойки файлове с подобни имена, като ZoomInstaller.exe и zoom.ps1, ChatGPT.msi и chch.ps1 и CitrixWorkspaceApp.exe и citrix.ps1.

Пътят  към ransomware

Като се има предвид, че троянският софтуер е насочен към корпоративни потребители, заразените устройства са кандидати за начало на атаки с откупващ софтуер.

Secureworks проучи отблизо една от последните атаки на Bumblebee. Те установиха, че хакерът е използвал достъпа си до компрометираната система, за да се придвижи странично в мрежата приблизително три часа след първоначалното заразяване.

Инструментите, които нападателите са използвали в нарушената среда, включват пакета за тестване Cobalt Strike, инструментите за отдалечен достъп AnyDesk и DameWare, помощни програми за сканиране на мрежата, програма за изхвърляне на бази данни AD и програма за кражба на пълномощия Kerberos.

Този арсенал създава профил на атаката, който прави много вероятно операторите на зловредния софтуер да се интересуват от идентифициране на достъпни мрежови точки, прехвърляне към други машини, ексфилтриране на данни и евентуално разгръщане на софтуер за откуп.

Базова информация и инфографики: Secureworks 

Източник: По материали от Интернет

Подобни публикации

4 декември 2023

Рансъмуерът е безмилостен: какво можете да напр...

Не само, че броят на рансъмуерите се увеличава, но този вид зловред...
3 декември 2023

Свалянето на Qakbot: Смекчаване на последиците ...

Министерството на правосъдието на САЩ и ФБР наскоро си сътрудничиха...
2 декември 2023

Владимир Дунаев е осъден за създаването на злов...

Министерството на правосъдието на САЩ обяви, че руски гражданин е п...
2 декември 2023

Клиентите на онлайн туристическата агенция Book...

Една от най-големите онлайн туристически агенции в света – Booking....
2 декември 2023

Националната ядрена лаборатория на Айдахо е бил...

Националната лаборатория на Айдахо (INL), една от 17-те национални ...
1 декември 2023

Енергийни смущения, свързани с киберсигурността

Експерти по сигурността предупреждават, че операторите на петролни ...
30 ноември 2023

Microsoft започва тестване на новата функция за...

Microsoft започна да тества нова функция на Windows 11 Energy Saver...
Бъдете социални
Още по темата
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
02/12/2023

Владимир Дунаев е осъден за...

Министерството на правосъдието на САЩ обяви,...
30/11/2023

Dollar Tree е жертва на нар...

Веригата дисконтови магазини Dollar Tree беше...
Последно добавени
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
03/12/2023

Свалянето на Qakbot: Смекча...

Министерството на правосъдието на САЩ и...
02/12/2023

Владимир Дунаев е осъден за...

Министерството на правосъдието на САЩ обяви,...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!