GoldenJackal работи активно в Турция и съседни региони

Правителствени и дипломатически структури в Близкия изток и Южна Азия са мишена на нова усъвършенствана постоянна заплаха, наречена GoldenJackal.

Руската фирма за киберсигурност „Kaspersky“, която следи дейността на групата от средата на 2020 г., характеризира противника като способен и незабележим.

Обхватът на кампанията е насочен към Афганистан, Азербайджан, Иран, Ирак, Пакистан и Турция, като заразява жертвите с адаптиран зловреден софтуер, който краде данни, разпространява се в системите чрез сменяеми дискове и извършва наблюдение.

Предполага се, че GoldenJackal е активен от поне четири години, въпреки че за групата се знае малко. Kaspersky заяви, че не е успял да определи произхода ѝ или връзката ѝ АТР, но начинът на действие на  предполага шпионска мотивация.

Нещо повече, опитите на за заплаха да поддържа нисък профил и да изчезне в сенките носят всички белези на спонсорирана от държавата група.

Въпреки това се наблюдават някои тактически съвпадения между субекта на заплахата и „Турла“ – един от елитните руски хакерски екипи на националната държава. В един от случаите една машина на жертвата е била заразена от Turla и GoldenJackal в разстояние на два месеца.

На този етап не е известен точният първоначален път, използван за проникване в целевите компютри, но събраните до момента доказателства сочат към използването на троянски инсталатори на Skype и злонамерени документи на Microsoft Word.

Докато инсталаторът служи като канал за доставяне на .NET-базиран троянски кон, наречен JackalControl, в Word файловете е наблюдавано използване на уязвимостта Follina (CVE-2022-30190) за пускане на същия зловреден софтуер.

JackalControl, както показва името, позволява на нападателите да управляват отдалечено машината, да изпълняват произволни команди, както и да качват и изтеглят от и към системата.

Някои от другите семейства зловреден софтуер, разгърнати от GoldenJackal, са следните:

  • JackalSteal – имплант, който се използва за намиране на интересуващи ви файлове, включително такива, разположени в сменяеми USB устройства, и за предаването им на отдалечен сървър.
  • JackalWorm – червей, който е създаден да заразява системи, използващи сменяеми USB устройства, и да инсталира троянеца JackalControl.
  • JackalPerInfo – Зловреден софтуер, който е снабден с функции за събиране на системни метаданни, съдържание на папки, инсталирани приложения и стартирани процеси, както и на данни, съхранявани в базите данни на уеб браузърите.
  • JackalScreenWatcher – Помощна програма за заснемане на снимки на екрана на базата на предварително зададен интервал от време и изпращането им на контролиран  сървър.

Друг забележителен аспект на заплахата е, че разчита на хакнати сайтове на WordPress като ретранслатор за препращане на уеб заявки към действителния сървър за управление и контрол (C2) чрез инжектиран в сайтовете измамен PHP файл.

„Групата вероятно се опитва да намали своята видимост, като ограничи броя на жертвите“, каза изследователят на Kaspersky Джампаоло Дедола. „Техният инструментариум изглежда е в процес на разработка – броят на вариантите показва, че те все още инвестират в него“.

Източник: The Hacker News

Подобни публикации

Глобиха Amazon с 30 млн. долара заради домофона...

Amazon ще плати 30 млн. долара глоби за уреждане на обвиненията в н...
1 юни 2023

Подробности за Migraine - уязвимост на Apple macOS

Microsoft сподели подробности за вече поправен недостатък в Apple m...

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да са ви открили, е от ключово ...
31 май 2023

Уязвимостта в Barracuda е използвана минимум 7 ...

Фирмата за корпоративна сигурност Barracuda разкри във вторник, че ...

Как да избегнете прегарянето в екипа си по кибе...

Въпреки че кибератаките се увеличават през последните години, една ...
30 май 2023

Бели хакери спечелиха 105 000 долара от Sonos One

Няколко недостатъка в сигурността, открити в безжичните високоговор...

Идва ли Windows 12?

Голямата актуализация на Windows 11 за края на тази година, известн...
30 май 2023

Нов хакерски форум пусна данните на 478 000 чле...

База данни за известния хакерски форум RaidForums е изтекла в интер...
30 май 2023

CosmicEnergy е способен да спре електрическата ...

Руски софтуер, който може да изключва (или включва) промишлени маши...
Бъдете социални
Още по темата
31/05/2023

Уязвимостта в Barracuda е и...

Фирмата за корпоративна сигурност Barracuda разкри...
30/05/2023

CosmicEnergy е способен да ...

Руски софтуер, който може да изключва...
27/05/2023

DarkFrost унищожава гейминг...

Наблюдава се нов ботнет, наречен Dark...
Последно добавени
01/06/2023

Глобиха Amazon с 30 млн. до...

Amazon ще плати 30 млн. долара...
01/06/2023

Подробности за Migraine - у...

Microsoft сподели подробности за вече поправен...
01/06/2023

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!