Руска група използва Graphiron information stealer в Украйна

Руската хакерска група, известна като „Nodaria“ (UAC-0056), използва нов зловреден софтуер за кражба на информация, наречен „Graphiron“, за да краде данни от украински организации.

Базираният на Go зловреден софтуер може да събира широк спектър от информация, включително идентификационни данни за акаунти, системни данни и данни за приложения. Зловредният софтуер също така заснема екранни снимки и екфилтрира файлове от компрометирани машини.

Екипът за изследване на заплахите на Symantec откри, че Nodaria използва Graphiron в атаки поне от октомври 2022 г. до средата на януари 2023 г.

Кражба на поверителна информация

Graphiron се състои от програма за изтегляне и вторичен полезен товар за кражба на информация.

При стартиране на програмата за изтегляне тя проверява за различни инструменти за анализ на софтуер за сигурност и зловреден софтуер и ако такива не бъдат открити, изтегля компонента за кражба на информация.

Някои от процесите, за които се проверява, включват BurpSuite, Charles, Fiddler, rpcapd, smsniff, Wireshark, x96dbg, ollydbg и idag.

 

Зловредният софтуер използва имена като OfficeTemplate.exe и MicrosoftOfficeDashboard.exe, за да се маскира като компонент на Microsoft Office в нарушената система.

Възможностите му включват следното:

  • Четене на MachineGuid
  • Получаване на IP адрес от https://checkip.amazonaws.com
  • Извличане на името на хоста, системната информация и информацията за потребителя
  • Краде данни от Firefox и Thunderbird
  • Краде частни ключове от MobaXTerm.
  • Кражба на известни хостове от SSH
  • Кражба на данни от PuTTY
  • Кражба на съхранени пароли
  • Правене на скрийншоти
  • Създаване на директория
  • Изготвяне на списък на директория
  • Изпълнение на команда от шел
  • Кражба на произволен файл

 

Зловредният софтуер използва следния PowerShell код, за да открадне пароли от Windows Vault, вградения мениджър на пароли на системата, където записаните данни се съхраняват в AES-256 криптирана форма.

Graphiron използва AES криптиране с твърдо кодирани ключове за комуникация със сървъра C2 през порт 443, което е забележителна прилика с по-стари инструменти на Nodaria като GraphSteal и GrimPlant.

Nodaria, насочена към Украйна

Nodaria е същиятизвършител, който през януари 2022 г. разгърна фалшив ransomware на име „WhisperGate“ в украинските мрежи, извършвайки разрушителни атаки за изтриване на данни.

Обикновено руските хакери доставят полезните си товари на целите чрез spear-phishing имейли, като продължаващата война предоставя много възможности за ефективни примамки.

„Въпреки че Nodaria беше сравнително неизвестна преди руската инвазия в Украйна, активността на групата на високо ниво през последната година предполага, че сега тя е един от ключовите играчи в продължаващите киберкампании на Русия срещу Украйна.“ заявиха от Symantec.
Graphiron е най-новото попълнение в арсенала на Nodaria, което съчетава характеристиките на предишните потребителски инструменти на групата в един полезен товар, като същевременно се отличава с обфускация.

Това е знак, че Nodaria ще продължи да се насочва към украински организации, опитвайки се да събира ценна информация от високопоставени цели.

Източник: По материали от Интернет

Подобни публикации

20 март 2023

Хакерите са се насочвали предимно към уязвимост...

Хакерите продължават да се насочват към уязвимостите от типа „...
20 март 2023

Препоръки на CISA за домашните мрежи - част1

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА За да се предотв...
20 март 2023

Windows 11 ще иска разрешение, преди да закача ...

Microsoft съобщава, че ще предостави на разработчиците нов API, кой...
19 март 2023

Winter Vivern е насочена към индийски, източное...

АРТ групата, известна като Winter Vivern, е свързана с кампании, на...
18 март 2023

Измерване на ефективността на SOC

Компаниите трябва да измерват ефективността във всички области на д...
17 март 2023

(ISC)² с програма за 1 000 000 безплатни курсов...

Искате да видите  себе си в киберсигурността? Не ви е необходим опи...
17 март 2023

Поддръжката на Microsoft краква Windows на клие...

При неочакван обрат инженер по поддръжката на Microsoft прибягва до...
16 март 2023

Фалшиво ChatGPT разширение за Chrome отвлича ак...

Установено е, че фалшиво разширение за браузър Chrome с марката Cha...
16 март 2023

Различни методи и етапи на тестовете за проникване

Залогът за киберзащитниците не може да бъде по-голям. При огромните...
Бъдете социални
Още по темата
19/03/2023

Winter Vivern е насочена къ...

АРТ групата, известна като Winter Vivern,...
15/03/2023

Федералната агенция на САЩ ...

Миналата година уеб сървърът на Microsoft...
13/03/2023

Шпионират ли ви през вашия ...

Новият зловреден софтуер HiatusRAT се насочва...
Последно добавени
20/03/2023

Хакерите са се насочвали пр...

Хакерите продължават да се насочват към...
20/03/2023

Препоръки на CISA за домашн...

ПРЕПОРЪКИ ЗА КОМПЮТЪРНИ И РАЗВЛЕКАТЕЛНИ УСТРОЙСТВА...
20/03/2023

Windows 11 ще иска разрешен...

Microsoft съобщава, че ще предостави на...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!