Een campagne genaamd "Stayin' Alive" richt zich sinds 2021 actief op overheidsorganisaties en aanbieders van telecommunicatiediensten in heel Azië.
Doel van de aanval
De campagne maakt gebruik van een breed scala aan 'wegwerp'-malware om detectie te omzeilen en richt zich voornamelijk op entiteiten in Kazachstan, Oezbekistan, Pakistan en Vietnam. Cybersecuritybedrijf Check Point houdt deze activiteiten in de gaten.
Onderzoekers van Check Point hebben opgemerkt dat cybercriminelen in deze campagne verschillende aangepaste tools gebruiken. Deze tools zijn zo ontworpen dat ze gemakkelijk kunnen worden weggegooid, waardoor het lastig is om aanvallen met elkaar of met bekende toolsets te associëren.
Werkingswijze
De aanval begint met spear-phishing-e-mails die specifiek gericht zijn op bepaalde personen binnen belangrijke organisaties. De e-mails vragen ontvangers om een ZIP-bestand te openen, dat een digitaal ondertekend uitvoerbaar bestand bevat dat overeenkomt met de inhoud van de e-mail, evenals een kwaadaardige DLL. Deze DLL introduceert de "CurKeep" -malware in het systeem. CurKeep, een backdoor van 10 kB, nestelt zich in het systeem, stuurt systeeminformatie door naar een command-and-control (C2)-server en wacht op verdere instructies.
Naast CurKeep maakt de campagne gebruik van extra tools zoals CurLu-, CurCore- en CurLog-loaders, elk met eigen functionaliteiten en infectiemechanismen. CurCore onderscheidt zich doordat het bestanden kan aanmaken, opdrachten op afstand kan uitvoeren en gegevens kan manipuleren.
Een andere aparte backdoor, 'StylerServ', functioneert als een passieve luisteraar die specifieke poorten in de gaten houdt op versleutelde configuratiebestanden. Het exacte doel ervan blijft onbekend, maar vermoedelijk dient het als configuratiemechanisme voor andere malwarecomponenten.
De campagne stemt deze tools af op specifieke regionale doelen en maakt gebruik van verschillende monsters en varianten. Deze geïdentificeerde tools vormen mogelijk slechts een onderdeel van een uitgebreidere campagne met onontdekte tools en aanvalsmethoden.
Ondanks de diversiteit en aanpasbaarheid van deze tools, zouden ze allemaal verbinding maken met dezelfde infrastructuur, die eerder in verband werd gebracht met ToddyCat, een groep Chinese cyberspionnen.
Een van de opvallende malware die is ontdekt, is 'Ninja Agent' , uitgerust met mogelijkheden voor bestandsbeheer en reverse shell-toegang.
ToddyCat gebruikte bij deze aanvallen ook andere tools zoals LoFiSe, Cobalt Strike, DropBox Uploader en een passieve UDP-backdoor, wat de omvang en complexiteit van hun operaties aangeeft.
Preventie is een cruciale factor
RELIANOID biedt geavanceerde oplossingen die zijn ontworpen om geavanceerde cyberdreigingen voorkomen en beperken zoals de "Stayin' Alive"-campagne die in heel Azië werd waargenomen. Door gebruik te maken van geavanceerde dreigingsinformatie en adaptieve beveiligingsmaatregelen, RELIANOIDHet platform van detecteert en verijdelt diverse, wegwerpbare malware die bij deze aanvallen wordt gebruikt door inhoudsinspectie te analyseren en te voorkomen dat uitvoerbare bestanden worden gedownload. Door gebruik te maken van proactieve monitoring, gedragsanalyse en aanpasbare beveiligingsprotocollen, RELIANOID versterkt netwerken en systemen effectief tegen dergelijke evoluerende cyberaanvallen. Download de enterprise-ready load balancer en geniet van de Site Reliability Experience.
Gerelateerde blogs
