Брокерите за първоначален достъп използват новия зловреден софтуер за изтегляне, който се появи веднага след прекъсването на QBot 2023.

Първоначално анализаторите смятаха, че даунлоудърът е вариант на добре познатия зловреден софтуер IcedID – но се оказа, че Latrodectus е нещо съвсем ново.

Зловредният софтуер се използва от брокери за първоначален достъп (IAB) в кампании за заплахи по електронна поща, а изследователите, които стоят зад откритието в Proofpoint и Team Cymru S2 Threat Research Team, прогнозират, че Latrodectus ще продължи да набира скорост сред  заплахите. Това се дължи до голяма степен на способността му да избягва откриването на пясъчници, твърдят изследователите.

„След инициализацията зловредният софтуер ще провери средата си, за да потвърди, че не работи в пясъчна кутия, като потвърди количеството на изпълняваните процеси на устройството, след това ще провери дали работи на 64-битов хост и накрая зловредният софтуер ще провери дали хостът има валиден MAC адрес“, се казва в изявление на Адам Нийл, инженер по откриване на заплахи в Critical Start. „Тези техники за заобикаляне на пясъчника могат да забавят изследователите и защитниците при анализа на образци на Latrodectus“.

Открит за първи път в края на 2023 г., през февруари и март се наблюдава отчетливо нарастване на активността на заплахите, използващи новия зареждащ модул, се предупреждава в доклада.

Въпреки че не е вариант на IcedID, изследователите са установили, че Latrodectus – наречен така по низ от код, открит по време на анализа – има сходни характеристики, което кара екипа да заключи, че и двата са създадени от едни и същи разработчици.

Първата група, използвала Latrodectus през ноември 2023 г., е TA577, а от средата на януари 2024 г. тя разчита почти изключително на него, се казва в доклада. Преди да подбере Latrodectus, противниковата група е използвала IcedID, се добавя в доклада.

През февруари изследователите откриха, че друга група, TA578, е разпространявала Latrodectus в кампания, която е изпращала заплахи за съдебни действия за нарушаване на авторските права като фишинг примамки.

Дали Latrodectus Downloader е новият QBot?

Новият даунлоуд Latrodectus е позициониран така, че да запълни празнината, оставена от премахването на зловредния софтуер QBot (известен също като Qakbot) през лятото на 2023 г., според изявление на Кен Дънам, директор по киберзаплахите в Qualys Threat Research Unit.

„TA577 и други участници са свързани с Qbot, а сега и с нова кампания за зловреден софтуер – Latrodectus“, обяснява Дънам. „Изглежда вероятно х акерите, стоящи зад QBot, да са усетили горещината от свалянето през миналата година и да са мигрирали към тази нова кодова база и инфраструктура през есента на 2023 г.“

Информираността за активно използвания в имейл кампании Latrodectus, както и бдителността, ще помогнат на предприятията да се защитят от обновения даунлоуд, съветват експертите. Новият доклад за Latrodectus предоставя тактики, техники и процедури, които да помогнат.

„Възможно е това да не е последната форма на Latrodectus и той да продължи да се развива и да се разграничава повече от IcedID в бъдеще“, добавя Нийл. „В момента Latrodectus се разпространява чрез имейл кампании, така че необходимостта от осведоменост за фишинга продължава да бъде изключително важна.“