F.A.C.C.T., ruski razvijalec tehnologij za boj proti kibernetski kriminaliteti, objavlja študijo o novi skupini kibernetskih vohunov PhantomCore. Skupina, ki od začetka leta 2024 napada ruska podjetja, je ime dobila po istoimenskem trojancu za oddaljen dostop, ki ga uporablja v svojih akcijah.
Strokovnjaki oddelka za obveščanje o grožnjah F.A.C.C.T. odkrili novo skupino kibernetskih vohunov, ki je od januarja 2024 aktivno napadala ruska podjetja. Skupino so poimenovali PhantomCore, ker napadalci uporabljajo edinstvenega, prej neopisanega trojanca za oddaljen dostop - PhantomRAT.
Začetni vektor napada PhantomCore na ruska podjetja so e-poštna sporočila z lažnim predstavljanjem, ki vsebujejo arhive RAR, zaščitene z geslom (samo geslo je v telesu e-pošte). Poleg tega napadalci v arhivih izkoriščajo prej neopisano različico ranljivosti WinRAR - CVE-2023-38831, v kateri se namesto arhivov ZIP uporablja RAR.
Sami arhivi vsebujejo dokument PDF in istoimenski imenik, v katerem se nahaja izvršljiva datoteka. Po poskusu odpiranja dokumenta PDF se namesto tega zažene zlonamerna izvršljiva datoteka. Zadnja odkrita stopnja je trojanec za oddaljeni dostop PhantomRAT. Poleg tega skupina uporablja aplikacije .NET z možnostjo namestitve ene same datoteke, da oteži odkrivanje v okuženem sistemu.
Čeprav trenutno motivacija za napade ni povsem ugotovljena, sodeč po ciljih in oblikah pošiljanja najverjetneje govorimo o kibernetskem vohunjenju. Zanimivo je, da je bila ena od datotek, namenjenih testiranju gradnje PhantomRAT, prvič naložena v VirusTotal 26. februarja 2024 iz Kijeva. Iz Ukrajine sta bila prenesena še dva testna vzorca edinstvene zlonamerne programske opreme, ki jo uporablja skupina PhantomCore.
Po napovedih, objavljenih v letnem poročilu družbe F.A.C.C.T. »Kibernetski kriminal v Rusiji in SND, 2023–2024«, glavne kibernetske grožnje, s katerimi se bodo ruska podjetja in vladne agencije soočile leta 2024, bodo izsiljevalci, kibernetski vohuni in saboterji, pa tudi haktivisti, ki lovijo baze podatkov domačih podjetij.
Podrobnosti o prvih napadih nove skupine PhantomCore in indikatorji ogroženosti so podani v zadnjem blogu.
bbabo.Net