🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O grupo de hackers iraniano Nimbus Manticore foi atribuído a duas famílias de malware anteriormente não documentadas que destacam a evolução contínua de seu conjunto de ferramentas e provavelmente expandem sua área de atuação para infectar sistemas Linux e Apple macOS usando trojans de acesso remoto (RATs) de plataforma cruzada desenvolvidos usando Node.js e JavaScript.
A empresa russa de segurança cibernética Kaspersky está rastreando as cepas de malware sob os nomes NodeRabbit e PollCat. A primeira amostra do NodeRabbit foi descoberta em um sistema no Afeganistão, com avistamentos subsequentes em duas máquinas distintas localizadas no Egito e na Etiópia.
“Seus operadores entregam [NodeRabbit] por meio de mensagens de spear-phishing no LinkedIn e outras plataformas de busca de empregos que contêm arquivos de desafio de codificação trojanizados”, disse o pesquisador de segurança da Kaspersky, Omar Amin. "Como o NodeRabbit, o PollCat é um RAT multiplataforma, mas é escrito em JavaScript ofuscado e também distribuído por meio de arquivos de desafio de codificação trojanizados."
Embora o Nimbus Manticore tenha historicamente empregado malware escrito em C, C++ e Go e tenha contado com técnicas de sequestro de ordem de pesquisa de DLL para implantá-los, as descobertas mais recentes marcam a incursão do agente da ameaça em ferramentas de plataforma cruzada para atingir seus objetivos.
O desenvolvimento também ocorre em meio a uma rápida expansão do arsenal de malware do grupo de hackers nos últimos meses, incluindo -
Um backdoor do Windows chamado NightLedger
Dois tuneladores WebSocket personalizados, BridgeHead e ArcBridge
Uma ferramenta de tunelamento SSH reverso
Um backdoor que compartilha sobreposições com TWOSTROKE
O ponto de partida da atividade suspeita observada no sistema baseado no Afeganistão começa com um arquivo ZIP (“Front-Technical-Challenge.zip”) hospedado na AWS que foi avaliado como tendo sido entregue como parte de uma oportunidade de trabalho para uma função de engenharia. Diz-se que o ator da ameaça se disfarçou como especialista em aquisição de talentos em uma grande empresa de tecnologia para abordar um engenheiro de software e convidá-lo a concluir uma tarefa técnica.
É importante notar que Nimbus Manticore também é rastreado sob o apelido de Iranian Dream Job por seu uso de iscas com tema de recrutamento para enganar possíveis alvos para que infectem seus próprios computadores, uma tática há muito adotada pelo Grupo Lazarus, ligado à Coreia do Norte.
O arquivo contém o código-fonte de uma ferramenta de gerenciamento de projetos chamada Taskflow e instrui os candidatos a “encontrar e corrigir todos os bugs no código frontend” como parte de um “desafio de engenharia” dentro de três horas e sem depender de ferramentas assistidas por inteligência artificial (IA).
As instruções pedem especificamente aos candidatos que evitem modificar o componente de servidor do aplicativo ("server.js"), alegando que ele está "livre de bugs e funciona corretamente". No entanto, é neste arquivo que o código malicioso está incorporado.
“A primeira linha do server.js importou um pacote npm trojanizado chamado colorized_terminal, versão 2.1.0”, disse Kaspersky. "Os invasores agruparam o pacote diretamente no diretório node_modules do arquivo de tarefas de desafio, em vez de publicá-lo no registro npm. Quando importado, o pacote lançou silenciosamente um implante de node_modules/.cache/.320697f1/index.js como um processo em segundo plano desanexado."
O implante em questão é o NodeRabbit, que se comunica com um dos três endereços de comando e controle (C2) hospedados no Azure ("plugplay.azurewebsites[.]net", "rgbteller.azurewebsites[.]net" e "wslwebui.azurewebsites[.]net") por meio de três pontos de extremidade de API distintos -
/api/rabbit/checkin, para registrar informações do agente e do host
/api/rabbit/task, para pesquisar comandos
/api/rabbit/result, para enviar resultados de tarefas
O malware suporta 11 comandos que permitem coletar detalhes do host, listar processos em execução, executar comandos shell arbitrários, enumerar diretórios, ler um arquivo em pedaços e retornar dados codificados em Base64, decodificar texto codificado em Base64 e gravá-lo em um deslocamento de arquivo escolhido, excluir um arquivo ou excluir recursivamente um diretório, criar diretórios recursivamente, enumerar adaptadores, endereços MAC, endereços IP e configurações de DNS e alterar intervalo de beacon.
Outra capacidade notável do NodeRabbit é escrever um script Node.js codificado em Base64 em um arquivo “.tmp” nomeado aleatoriamente, executá-lo e excluí-lo para encobrir vestígios de atividade maliciosa.
A Kaspersky disse que identificou mais duas variantes do NodeRabbit que compartilham a mesma linhagem de código, cada uma recuperada do Egito e da Etiópia –
Uma segunda variante que usa um pacote npm trojanizado diferente chamado pretty-log (versão 2.1.0) em vez de colorized_terminal, ao mesmo tempo que termina se for encontrado em execução em um ambiente de análise e implementando parcialmente suporte a proxy corporativo
Uma terceira variante que também é lançada usando o pacote pretty-log npm, mas usa um conjunto diferente de endpoints de API para realizar as mesmas tarefas -
/sdk/v2/pronto
/sdk/v2/config
/sdk/v2/eventos
Persistência é uma conquista
A empresa russa de segurança cibernética Kaspersky está rastreando as cepas de malware sob os nomes NodeRabbit e PollCat. A primeira amostra do NodeRabbit foi descoberta em um sistema no Afeganistão, com avistamentos subsequentes em duas máquinas distintas localizadas no Egito e na Etiópia.
“Seus operadores entregam [NodeRabbit] por meio de mensagens de spear-phishing no LinkedIn e outras plataformas de busca de empregos que contêm arquivos de desafio de codificação trojanizados”, disse o pesquisador de segurança da Kaspersky, Omar Amin. "Como o NodeRabbit, o PollCat é um RAT multiplataforma, mas é escrito em JavaScript ofuscado e também distribuído por meio de arquivos de desafio de codificação trojanizados."
Embora o Nimbus Manticore tenha historicamente empregado malware escrito em C, C++ e Go e tenha contado com técnicas de sequestro de ordem de pesquisa de DLL para implantá-los, as descobertas mais recentes marcam a incursão do agente da ameaça em ferramentas de plataforma cruzada para atingir seus objetivos.
O desenvolvimento também ocorre em meio a uma rápida expansão do arsenal de malware do grupo de hackers nos últimos meses, incluindo -
Um backdoor do Windows chamado NightLedger
Dois tuneladores WebSocket personalizados, BridgeHead e ArcBridge
Uma ferramenta de tunelamento SSH reverso
Um backdoor que compartilha sobreposições com TWOSTROKE
O ponto de partida da atividade suspeita observada no sistema baseado no Afeganistão começa com um arquivo ZIP (“Front-Technical-Challenge.zip”) hospedado na AWS que foi avaliado como tendo sido entregue como parte de uma oportunidade de trabalho para uma função de engenharia. Diz-se que o ator da ameaça se disfarçou como especialista em aquisição de talentos em uma grande empresa de tecnologia para abordar um engenheiro de software e convidá-lo a concluir uma tarefa técnica.
É importante notar que Nimbus Manticore também é rastreado sob o apelido de Iranian Dream Job por seu uso de iscas com tema de recrutamento para enganar possíveis alvos para que infectem seus próprios computadores, uma tática há muito adotada pelo Grupo Lazarus, ligado à Coreia do Norte.
O arquivo contém o código-fonte de uma ferramenta de gerenciamento de projetos chamada Taskflow e instrui os candidatos a “encontrar e corrigir todos os bugs no código frontend” como parte de um “desafio de engenharia” dentro de três horas e sem depender de ferramentas assistidas por inteligência artificial (IA).
As instruções pedem especificamente aos candidatos que evitem modificar o componente de servidor do aplicativo ("server.js"), alegando que ele está "livre de bugs e funciona corretamente". No entanto, é neste arquivo que o código malicioso está incorporado.
“A primeira linha do server.js importou um pacote npm trojanizado chamado colorized_terminal, versão 2.1.0”, disse Kaspersky. "Os invasores agruparam o pacote diretamente no diretório node_modules do arquivo de tarefas de desafio, em vez de publicá-lo no registro npm. Quando importado, o pacote lançou silenciosamente um implante de node_modules/.cache/.320697f1/index.js como um processo em segundo plano desanexado."
O implante em questão é o NodeRabbit, que se comunica com um dos três endereços de comando e controle (C2) hospedados no Azure ("plugplay.azurewebsites[.]net", "rgbteller.azurewebsites[.]net" e "wslwebui.azurewebsites[.]net") por meio de três pontos de extremidade de API distintos -
/api/rabbit/checkin, para registrar informações do agente e do host
/api/rabbit/task, para pesquisar comandos
/api/rabbit/result, para enviar resultados de tarefas
O malware suporta 11 comandos que permitem coletar detalhes do host, listar processos em execução, executar comandos shell arbitrários, enumerar diretórios, ler um arquivo em pedaços e retornar dados codificados em Base64, decodificar texto codificado em Base64 e gravá-lo em um deslocamento de arquivo escolhido, excluir um arquivo ou excluir recursivamente um diretório, criar diretórios recursivamente, enumerar adaptadores, endereços MAC, endereços IP e configurações de DNS e alterar intervalo de beacon.
Outra capacidade notável do NodeRabbit é escrever um script Node.js codificado em Base64 em um arquivo “.tmp” nomeado aleatoriamente, executá-lo e excluí-lo para encobrir vestígios de atividade maliciosa.
A Kaspersky disse que identificou mais duas variantes do NodeRabbit que compartilham a mesma linhagem de código, cada uma recuperada do Egito e da Etiópia –
Uma segunda variante que usa um pacote npm trojanizado diferente chamado pretty-log (versão 2.1.0) em vez de colorized_terminal, ao mesmo tempo que termina se for encontrado em execução em um ambiente de análise e implementando parcialmente suporte a proxy corporativo
Uma terceira variante que também é lançada usando o pacote pretty-log npm, mas usa um conjunto diferente de endpoints de API para realizar as mesmas tarefas -
/sdk/v2/pronto
/sdk/v2/config
/sdk/v2/eventos
Persistência é uma conquista
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hackers #iranianos #se #apresentam #como #recrutadores #para #fornecer #rats #multiplataforma #por #meio #de #testes #de #codificação
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário