O Malware Baseado em Python Potencia o RansomHub Ransomware para Explorar as Falhas da Rede

ZNX Postagens

Os pesquisadores de segurança cibernética detalharam um ataque que envolveu um agente de ameaças utilizando um backdoor baseado em Python para manter o acesso persistente aos endpoints comprometidos e, em seguida, aproveitaram esse acesso para implantar o RansomHub ransomware em toda a rede alvo.

De acordo com Segurança GuidePointé dito que o acesso inicial foi facilitado por meio de um malware JavaScript baixado chamado SocGholish (aka FakeUpdates), que é conhecido por ser distribuído através de campanhas drive-by que enganam os usuários desavisados para baixar atualizações falsas do navegador da web.

Tais ataques comumente envolver o uso de sites legítimos, mas infectados, para os quais as vítimas são redirecionadas a partir dos resultados dos mecanismos de pesquisa usando técnicas de Otimização de Mecanismo de Busca (SEO) de chapéu preto. Após a execução, SocGholish estabelece contato com um servidor controlado por invasor para recuperar cargas úteis secundárias.

Ainda no ano passado, as campanhas SocGholish foram alvo Sites WordPress que dependem de versões desatualizadas de plugins populares de SEO, como o Yoast (CVE-2024-4984, pontuação CVSS: 6,4) e Rank Math PRO (CVE-2024-3665, pontuação CVSS: 6,4) para acesso inicial.

No incidente investigado pelo GuidePoint Security, descobriu-se que o backdoor Python foi descartado cerca de 20 minutos após a infecção inicial via SocGholish. O agente de ameaças então passou a entregar o backdoor para outras máquinas localizadas na mesma rede durante o movimento lateral através de sessões RDP.

“Funcionalmente, o script é um proxy reverso que se conecta a um endereço IP codificado. Uma vez que o script tenha passado o aperto de mão inicial de comando e controle (C2), ele estabelece um túnel fortemente baseado no protocolo SOCKS5”, disse o pesquisador de segurança Andrew Nelson.

“Este túnel permite que o agente de ameaça se mova lateralmente na rede comprometida usando o sistema da vítima como proxy.”

O script Python, uma versão anterior do que foi documentado por ReliaQuest em fevereiro de 2024, foi detectado na natureza desde o início de dezembro de 2023, enquanto passando por “alterações no nível da superfície” que visam melhorar os métodos de ofuscação usados para evitar a detecção.

O GuidePoint também observou que o script decodificado é polido e bem escrito, indicando que o autor do malware é meticuloso em manter um código Python altamente legível e testável ou está confiando em ferramentas de inteligência artificial (IA) para ajudar na tarefa de codificação.

“Com exceção da ofuscação de variáveis locais, o código é dividido em classes distintas com nomes e variáveis de métodos altamente descritivos”, acrescentou Nelson. “Cada método também tem um alto grau de tratamento de erros e mensagens de depuração detalhadas.”

O backdoor baseado em Python está longe de ser o único precursor detectado em ataques de ransomware. Como destacado por Halcyon no início deste mês, algumas das outras ferramentas implantado antes da implantação do ransomware, inclua os responsáveis por –

  • Desativar as soluções de Detecção e Resposta de Endpoints (EDR) usando EDRSilencer e Backstab
  • Roubar credenciais usando LaZagne
  • Comprometer contas de e-mail com credenciais de força bruta usando o MailBruter
  • Manter o acesso furtivo e entregar cargas úteis adicionais usando Sirefef e Mediyes

Campanhas de ransomware também foram observadas visando buckets do Amazon S3, aproveitando a Criptografia do Lado do Servidor da Amazon Web Services com Chaves Fornecidas pelo Cliente (SSE-C) para criptografar os dados da vítima. A atividade foi atribuída a um ator de ameaças chamado Codefinger.

Além de impedir a recuperação sem a chave gerada, os ataques empregam táticas de resgate urgentes em que os arquivos são marcados para exclusão dentro de sete dias através da API S3 Object Lifecycle Management para pressionar as vítimas a pagar.

“O ator de ameaças Codefinger abusa de chaves da AWS divulgadas publicamente com permissões para escrever e ler objetos do S3”, Halcyon disse. “Ao utilizar os serviços nativos da AWS, eles obtêm criptografia de maneira segura e irrecuperável sem a cooperação deles.”

O desenvolvimento ocorre quando o SlashNext disse que testemunhou um aumento nas campanhas de phishing “rápidas” que imitam a equipe de ransomware Black Basta técnica de bombardeio de e-mail para inundar as caixas de entrada das vítimas com mais de 1.100 mensagens legítimas relacionadas a boletins informativos ou avisos de pagamento.

“Então, quando as pessoas se sentem sobrecarregadas, os atacantes entram por meio de telefonemas ou mensagens do Microsoft Teams, posando como suporte técnico da empresa com uma solução simples”, disse a empresa disse.

“Eles falam com confiança para ganhar confiança, direcionando os usuários a instalar software de acesso remoto como TeamViewer ou AnyDesk. Uma vez que o software está em um dispositivo, os invasores entram silenciosamente. A partir daí, eles podem espalhar programas prejudiciais ou esgueirar-se para outras áreas da rede, limpando um caminho direto para dados confidenciais.”

Fonte: https://thehackernews.com/