Нова група за изнудване чрез изтичане на  данни, проследена като Mad Liberator, се насочва към потребителите на AnyDesk и пуска фалшив екран за актуализация на Microsoft Windows, за да отвлече вниманието, докато извлича данни от целевото устройство.

Операцията се появява през юли и въпреки че изследователите, наблюдаващи дейността, не са забелязали инциденти, включващи криптиране на данни, бандата отбелязва на своя сайт за изтичане на данни, че използва алгоритми AES/RSA за заключване на файлове.

Насочване към потребителите на AnyDesk

В доклад на компанията за киберсигурност Sophos изследователите казват, че атаката на Mad Liberator започва с нежелана връзка с компютър, използващ приложението за отдалечен достъп AnyDesk, което е популярно сред ИТ екипите, управляващи корпоративни среди.

Не е ясно как  заплахата избира своите цели, но една от теориите, макар и все още да не е доказана, е, че Mad Liberator опитва потенциални адреси (идентификатори за връзка с AnyDesk), докато някой приеме заявката за връзка.

След като заявката за връзка бъде одобрена, нападателите пускат на компрометираната система двоичен файл с име Microsoft Windows Update, който показва фалшив заставен екран на Windows Update.

Единствената цел на тази измама е да отвлече вниманието на жертвата, докато заплахата използва инструмента за прехвърляне на файлове на AnyDesk, за да открадне данни от акаунти в OneDrive, мрежови споделяния и локалното хранилище.

По време на фалшивия екран за актуализация клавиатурата на жертвата е изключена, за да не се прекъсне процесът на ексфилтрация.

При атаките, наблюдавани от Sophos, които са продължили приблизително четири часа, Mad Liberator не е извършил никакво криптиране на данните в етапа след ексфилтрацията.

Въпреки това той все още пускаше бележки за откуп в споделените мрежови директории, за да осигури максимална видимост в корпоративните среди.

Sophos отбелязва, че не е видян Mad Liberator да взаимодейства с целта преди заявката за връзка с AnyDesk и не е регистрирал опити за фишинг, подкрепящи атаката.

Що се отнася до процеса на изнудване на Mad Liberator, стоящите зад заплахата заявяват на своя сайт в даркнет, че първо се свързват с нападнатите фирми, като им предлагат да им „помогнат“ да решат проблемите си със сигурността и да възстановят криптираните файлове, ако паричните им искания бъдат изпълнени.

Ако потърпевшата компания не отговори в рамките на 24 часа, името ѝ се публикува в портала за изнудване и ѝ се дава седемдневен срок да се свърже със заплахата.

След като изминат още пет дни от поставянето на ултиматума, без да бъде платен откуп, всички откраднати файлове се публикуват на уебсайта Mad Liberator, в който в момента фигурират девет жертви.