В 2022 году мир кибербезопасности столкнулся с новым и сложным типом вредоносного ПО, известным как DarkCloud. Это серьезная угроза, которую эксперты прогнозируют продолжит оставаться актуальной и в 2023 году. DarkCloud классифицируется как Stealer, что подразумевает его основное назначение – кражу конфиденциальной информации.
Методы распространения DarkCloud
DarkCloud в основном распространяется через фишинговые кампании, где злоумышленники маскируются под законные организации. Наиболее распространенные стратегии включают:
- Использование квитанций об оплате;
- Мошеннические сообщения о штрафах;
- Целевая атака на отделы кадров и аналогичные сектора.
Несмотря на преобладание фишинга, DarkCloud также ассоциируется с рядом других тактик, таких как вредоносная реклама и подпольные атаки. При запуске DarkCloud часто работает в тандеме с другими вредоносными программами, такими как DbatLoader и ClipBanker, что указывает на присутствие сложной экосистемы угроз.
Процесс заражения
Процесс заражения тем самым начинается, когда жертва переходит по фишинговой ссылке или загружает вредоносный файл. Эти файлы могут быть представлены в различных форматах, таких как:
- Сжатые файлы;
- Зараженные документы;
- Сценарии на различных языках программирования.
Вредоносное ПО загружает необходимые компоненты для своей работы, которые часто затемнены или зашифрованы. Это приводит к краже конфиденциальной информации, такой как:
- История посещений браузера;
- Учетные данные FTP;
- Скриншоты;
- Нажатия клавиш.
Разнообразие методов загрузки
Анализ DarkCloud показывает разнообразие используемых загрузчиков, демонстрируя различную сложность структуры в разных образцах. Некоторые загрузчики, например, файлы JAR, используют встроенные ресурсы для получения дальнейших этапов выполнения, а другие, такие как скрипты PowerShell и VBS, применяют методы обфускации для получения полезной информации через установление соединения.
Проблемы для аналитиков угроз
Одной из постоянных проблем для аналитиков является зависимость образцов от определенных доменов для получения информации о последующих этапах. Как только связанные домены становятся неактивными, дальнейший анализ затрудняется. Аналитики зачастую полагаются на статический анализ для определения функциональности DarkCloud, так как динамический анализ становится проблематичным в отсутствии доступных образцов.
Методы анализа включают:
- Изменение файлов локальных хостов для перенаправления обращений на локальный компьютер;
- Наблюдение за действиями вредоносного ПО в контролируемых средах.
Заключение
Анализ операционных методик DarkCloud подчеркивает его эволюцию как вредоносной угрозы, характеризующейся стратегическим использованием социальной инженерии и технической адаптивностью. Это ставит перед специалистами по кибербезопасности постоянную задачу по мониторингу и снижению рисков, связанных с такими эволюционирующими угрозами.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "DarkCloud: эволюция Stealer и его угроза кибербезопасности".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.