Latrodectus kötü amaçlı yazılımlar, e -posta güvenlik platformlarının e -postaları kötü niyetli olarak algılamasını zorlaştırırken Microsoft Azure ve Cloudflare lures kullanılarak kimlik avı kampanyalarına dağıtılıyor.
Latrodectus (diğer adıyla kimliği belirsiz 111 ve icenova), ilk olarak Walmart'ın güvenlik ekibi tarafından keşfedilen ve daha sonra bir arka kapı görevi gören, ek exe ve dll yükleri indirerek veya komutları yürüten prova noktası ve CymRU tarafından analiz edilen giderek daha fazla dağıtılmış bir Windows kötü amaçlı yazılım indiricisidir.
Dağıtım ve altyapıya dayanarak, araştırmacılar kötü amaçlı yazılımları yaygın olarak dağıtılan buzlu modüler kötü amaçlı yazılım yükleyicisinin geliştiricilerine bağladılar.
Şu anda Latrodectus lehine buzlu eklenmeyi planlıyorlarsa bilinmese de, daha yeni kötü amaçlı yazılımlar, kimlik avı kampanyalarında giderek daha fazla kullanılıyor ve kurumsal ağlara ilk erişim elde etmek için Form Spam ile iletişim kuruyor.
Güvenlik Araştırmacısı Proxyife ve Cryptolaemus Group, Latrodectus'un çeşitli PDF yemleri ve temalarını kullanmasını sağlıyor ve en son kampanya, güvenlik yazılımından kaçmak için sahte bir Cloudflare captcha kullanıyor.
Latrodectus şu anda tehdit aktörlerinin çalınan e-posta alışverişlerini kullandığı ve daha sonra kötü amaçlı yazılımlara veya kötü amaçlı eklere olan bağlantılarla cevap verdikleri yanıt zinciri kimlik avı e-postaları aracılığıyla dağıtılıyor.
ProxyLife, BleepingComputer'a bu kampanyanın, sonunda Latrodectus kötü amaçlı yazılımlarının kurulmasına yol açan bir saldırı zinciri başlatmak için PDF ekleri veya gömülü URL'ler kullandığını söyledi.
PDF'ler, '04 -25-inv-doc-339.pdf 'gibi jenerik adları kullanacak ve Microsoft Azure Cloud'da barındırılan ve önce görüntülenmesi gereken bir belge gibi davranacak.
'Belgeyi İndir' düğmesine tıklamak, kullanıcıları kolay bir matematik sorusunu çözmenizi isteyen sahte bir 'Cloudflare güvenlik kontrolüne' getirecektir. Bu CAPTCHA, e -posta güvenlik tarayıcılarının ve kum havuzlarının saldırı zincirini kolayca takip etmesini ve yükü yalnızca meşru bir kullanıcıya teslim etmesini önleyecektir.
Doğru cevap alana girildiğinde, sahte Cloudflare captcha otomatik olarak "Document_I79_1364058-83054409R0449-8089Z4.js" adlı bir belge gibi bir belge gibi bir JavaScript dosyasını indirecektir.
İndirilen JavaScript komut dosyası, '////' ile başlayan ve daha sonra aşağıdaki bozulmuş komut dosyasında gösterildiği gibi bir MSI'yi basılı bir URL'den bir MSI indirmek için komut dosyasını yürüten gizli bir işlev içeren yorumlarla büyük ölçüde gizlenmiştir.
MSI dosyası yüklendiğinde, _B419643a.dll güncellemesi adlı %AppData %\ Custom_update klasörüne bir DLL düşürür ve daha sonra Rundll32.exe tarafından başlatılır. Dosya adları kurulum başına rastgeledir.
Bu DLL, yüklerin yüklenmesini veya yürütülmesini beklerken artık arka planda çalışacak olan Latrodectus kötü amaçlı yazılımdır.
Latrodectus kötü amaçlı yazılım enfeksiyonları diğer kötü amaçlı yazılımları bırakmak ve kurumsal ağlara ilk erişim için kullanıldığından, yıkıcı saldırılara yol açabilir.
Şu anda, kötü amaçlı yazılımların Lumma bilgi çalan ve Danabot'u düşürdüğü gözlemlenmiştir. Bununla birlikte, Latrodectus buzlud ile bağlantılı olduğundan, bu saldırılar gelecekte kobalt grevi gibi daha geniş bir kötü amaçlı yazılım yelpazesine yol açabilir ve fidye yazılımı çeteleriyle ortaklıklar da görebiliriz.
Bu nedenle, bir cihaz Latrodectus ile enfekte olursa, sistemi mümkün olan en kısa sürede çevrimdışı almak ve ağı olağandışı davranışlar için değerlendirmek önemlidir.
Yeni Latrodectus kötü amaçlı yazılım, ağ ihlallerinde Icicid'in yerini alır
Milyonlarca Docker Repoları Bulunan Kötü Yazılım, Kimlik Avukat Siteleri
Yeni Wpeeper Android kötü amaçlı yazılım, hacklenen WordPress sitelerinin arkasına saklanıyor
Hackerlar, Guptiminer kötü amaçlı yazılımları bırakmak için antivirüs güncellemelerini ele geçiriyor
Chrome Enterprise premium güvenlik alır ancak bunun için ödeme yapmanız gerekir
Kaynak: Bleeping Computer