Pular para o conteúdo principal

Novo backdoor visa entidades francesas por meio do instalador de pacotes de código aberto

Pesquisadores expuseram uma nova campanha de e-mail direcionada para entidades francesas nos setores de construção, imobiliário e governo que aproveita o gerenciador de pacotes Chocolatey Windows para fornecer um backdoor chamado Serpent em sistemas comprometidos.

A empresa de segurança corporativa Proofpoint atribuiu os ataques a um provável agente de ameaças avançado com base nas táticas e nos padrões de vitimologia observados. O objetivo final da campanha permanece atualmente desconhecido.

“O agente da ameaça tentou instalar um backdoor no dispositivo de uma vítima em potencial, o que poderia permitir administração remota, comando e controle (C2), roubo de dados ou entregar outras cargas adicionais”, disseram os pesquisadores da Proofpoint em um relatório compartilhado com o The Hacker News.

A isca de phishing que desencadeia a sequência de infecção faz uso de uma linha de assunto com tema de currículo, com o documento do Microsoft Word anexado em macro-embutido disfarçado como informações relacionadas ao Regulamento Geral de Proteção de Dados da União Europeia (GDPR).

Habilitar as macros resulta em sua execução, que recupera um arquivo de imagem aparentemente inofensivo hospedado em um servidor remoto, mas na verdade contém um script PowerShell codificado em Base64 que é obscurecido usando esteganografia, um método pouco usado de ocultar código malicioso em uma imagem ou áudio para para contornar a detecção.











O script do PowerShell, por sua vez, é projetado para instalar o utilitário Chocolatey na máquina Windows, que é então utilizado para instalar o pip do instalador do pacote Python, o último dos quais atua como um canal para instalar a biblioteca de proxy PySocks.

Também recuperado pelo mesmo script do PowerShell é outro arquivo de imagem do mesmo servidor remoto que inclui o backdoor Python camuflado apelidado de Serpent, que vem com recursos para executar comandos transmitidos do servidor C2.

Além da esteganografia, o uso de ferramentas amplamente reconhecidas, como Chocolatey, como carga útil inicial para implantação subsequente de pacotes Python genuínos é uma tentativa de permanecer sob o radar e não ser sinalizado como uma ameaça, disse a Proofpoint.

Os ataques não desenterraram associações com um ator ou grupo previamente identificado, mas suspeita-se que sejam obra de uma sofisticada equipe de hackers.

"Esta é uma nova aplicação de uma variedade de tecnologias que muitas vezes são usadas legitimamente dentro das organizações", disse Sherrod DeGrippo, vice-presidente de pesquisa e detecção de ameaças da Proofpoint, em comunicado.

"Ele capitaliza o desejo de muitas organizações, especificamente grupos técnicos, de permitir que seus usuários sejam 'autossuficientes' em relação a auto-ferramentas e gerenciadores de pacotes. Além disso, o uso de esteganografia é incomum e algo que não vemos regularmente ."

Comentários

Postagens mais visitadas deste blog

All You Need to Know About Emotet in 2022

For 6 months, the infamous Emotet botnet has shown almost no activity, and now it's distributing malicious spam. Let's dive into details and discuss all you need to know about the notorious malware to combat it. Why is everyone scared of Emotet? Emotet is by far one of the most dangerous trojans ever created. The malware became a very destructive program as it grew in scale and sophistication. http://dlvr.it/SdR6Bq

"Polymath" Plataforma Baseada na Ethereum Blockchain Poderia Revolucionar Transações de Valores Mobiliários

As ofertas iniciais de moedas (Em inglês Initial Coin Offerings -  ICO ) arrecadaram mais de US $ 4 bilhões de dólares desde 2013, e as agências governamentais estão analisando suas implicações regulatórias. Alguns tokens emitidos através dessa oferta podem ser considerados "tokens de valores mobiliários" e até mesmo em violação das leis de valores mobiliários. Um novo, o protocolo descentralizado, no entanto, está se preparando para tornar mais fácil do que nunca a emissão de toques de cadeias de blocos com recursos. E isso inclui valores mobiliários. "O Polymath facilita os tokens de títulos na cadeia de blocos através de uma rede de participantes coordenados que são incentivados pela POLY, nosso token nativo", disse o Fundador e CEO da Polymath , Trevor Koverko, à CCN. "Nós criamos um novo padrão de token que faz os requisitos necessários, como KYC e AML, nos próprios tokens". A plataforma Polymath destina-se a reduzir as barreiras para

Password Reset Hack Exposed in Honda's E-Commerce Platform, Dealers Data at Risk

Security vulnerabilities discovered in Honda's e-commerce platform could have been exploited to gain unrestricted access to sensitive dealer information. "Broken/missing access controls made it possible to access all data on the platform, even when logged in as a test account," security researcher Eaton Zveare said in a report published last week. The platform is designed for the sale of power http://dlvr.it/SqbFDX