Търсене
Close this search box.

Дискорд: Терен и за национални хакери, които атакуват критична инфраструктура

В най-новата еволюция на  заплахите, които злоупотребяват със законна инфраструктура за нечисти цели, новите открития показват, че хакерски групи от национална държава са се включили в борбата за използване на социалната платформа за атакуване на критична инфраструктура.

През последните години Discord се превърна в доходоносна цел, действайки като благодатна почва за хостване на зловреден софтуер, използвайки своята мрежа за доставка на съдържание (CDN), както и позволявайки на крадците на информация да изтеглят чувствителни данни от приложението и да улесняват ексфилтрацията на данни чрез уеб куки.

„Използването на Discord до голяма степен се ограничава до крадци и грабители на информация, които всеки може да купи или изтегли от интернет“, казват изследователите на Trellix Ернесто Фернандес Провечо и Давид Пастор Санс в доклад от понеделник.

Но това може да се промени, тъй като фирмата за киберсигурност заяви, че е открила доказателства за артефакт, насочен към украински критични инфраструктури. Към момента няма доказателства, които да го свързват с известна група за заплахи.

„“Потенциалната поява на APT кампании за зловреден софтуер, използващи функционалностите на Discord, въвежда нов слой сложност в пейзажа на заплахите“, отбелязват изследователите.

Образецът представлява файл Microsoft OneNote, разпространяван чрез имейл съобщение, представящо се за нестопанската организация dobro.ua.

След като бъде отворен, файлът съдържа препратки към украински войници, за да заблуди получателите да направят дарение, като кликнат върху бутон с капани, в резултат на което се изпълнява Visual Basic Script (VBS), предназначен за извличане и стартиране на PowerShell скрипт, за да се изтегли друг PowerShell скрипт от хранилище в GitHub.

От своя страна, на последния етап PowerShell се възползва от уеб примка на Discord, за да екфилтрира системни метаданни.

„Фактът, че единствената цел на финалния полезен товар е получаването на информация за системата, показва, че кампанията е все още в ранен етап, което съответства и на използването на Discord като [командно-административна] функция“, казват изследователите.

„Важно е обаче да се подчертае, че в бъдеще групата може да достави по-сложен зловреден софтуер на компрометираните системи, като модифицира файла, съхраняван в хранилището на GitHub.“

 

Анализът на Trellix разкри още, че зареждащи програми като SmokeLoader, PrivateLoader и GuLoader са сред най-разпространените семейства зловреден софтуер, които използват CDN на Discord за изтегляне на полезен товар на следващ етап, включително крадци като RedLine, Vidar, Agent Tesla и Umbral.

Освен това някои от разпространените семейства зловреден софтуер, които са наблюдавани да използват уеб куки на Discord, са Mercurial Grabber, Stealerium, Typhon Stealer и Venom RAT.

„Злоупотребата с CDN на Discord като механизъм за разпространение на допълнителен полезен товар от зловреден софтуер показва адаптивността на киберпрестъпниците да използват приложения за сътрудничество за свои цели“, казват изследователите.

„APT са известни със своите сложни и целенасочени атаки, а чрез проникване в широко използвани комуникационни платформи като Discord те могат ефективно да установят дългосрочни опорни точки в мрежите, излагайки на риск критичната инфраструктура и чувствителните данни.“

Източник: The Hacker News

Подобни публикации

15 април 2024

Хакер твърди, че е пробил Giant Tiger и пусна 2...

Канадската верига за търговия на дребно Giant Tiger разкрива наруше...
14 април 2024

MuddyWater приемат нов C2 инструмент "DarkBeatC...

Иранският участник в заплахите, известен като MuddyWater, е причисл...
14 април 2024

Критичен недостатък на Palo Alto Networks PAN-O...

Palo Alto Networks предупреждава, че критичен недостатък, засягащ с...
13 април 2024

Подъл скимер на кредитни карти, маскиран като б...

Изследователи в областта на киберсигурността са открили скимиращо у...
13 април 2024

На федералните агенции на САЩ е наредено да тър...

В четвъртък Агенцията за киберсигурност и инфраструктурна сигурност...
13 април 2024

Latrodectus продължава там, където QBot спря

Брокерите за първоначален достъп използват новия зловреден софтуер ...
12 април 2024

Oracle увеличава усилията си в областта на суве...

Техническият директор и председател на Oracle Лари Елисън очаква пр...
12 април 2024

Глобиха AWS с над 1 млрд. лева

Съдебните заседатели установиха, че AWS е нарушила правата на собст...
Бъдете социални
Още по темата
15/04/2024

Хакер твърди, че е пробил G...

Канадската верига за търговия на дребно...
14/04/2024

MuddyWater приемат нов C2 и...

Иранският участник в заплахите, известен като...
13/04/2024

Latrodectus продължава там,...

Брокерите за първоначален достъп използват новия...
Последно добавени
15/04/2024

Хакер твърди, че е пробил G...

Канадската верига за търговия на дребно...
14/04/2024

MuddyWater приемат нов C2 и...

Иранският участник в заплахите, известен като...
14/04/2024

Критичен недостатък на Palo...

Palo Alto Networks предупреждава, че критичен...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!