Directoratul Naţional de Securitate Cibernetică avertizează, miercuri, asupra unei campanii phishing în desfăşurare, atribuită grupării nord-coreene Konni. Atacatorii urmăresc infectarea iniţială a utilizatorilor vizaţi prin ataşarea unor fişiere maliţioase de tip LNK în email-urile transmise. Ulterior, malware-ul este descărcat folosind inclusiv infrastructura cibernetică a unor furnizori de servicii de tip cloud de încredere, cum ar fi Dropbox sau GoogleDrive.
„O nouă campanie de phishing în desfăşurare a fost identificată de către Directoratul Naţional de Securitate Cibernetică prin date obţinute din monitorizarea surselor deschise din spaţiul cibernetic. Campania este foarte probabil atribuită grupării Konni, asociată adeseori cu actorii statali nord-coreeni, identificaţi în comunitatea de specialitate drept APT37, respectiv Kimsuki”, a transmis, miercuri, DNSC.
Potrivit specialiştilor, în cadrul campaniei identificate, „atacatorii urmăresc infectarea iniţială a utilizatorilor vizaţi prin ataşarea unor fişiere maliţioase de tip LNK în email-urile transmise”.
„Ulterior, malware-ul este descărcat folosind inclusiv infrastructura cibernetică a unor furnizori de servicii de tip cloud de încredere în relaţia cu victimele (i.e., Dropbox, GoogleDrive)”, au mai transmis specialiştii.
Cum se derulează atacul
Aceştia descriu cum se derulează atacul.
„Analiza atacurilor cibernetice recente atribuite grupului NK Konni a evidenţiat utilizarea fişierelor de tip LNK pentru a distribui malware-ul AsyncRAT. Această metodă implică folosirea fişierelor de comandă rapidă specifice sistemului de operare Windows pentru a executa comenzi maliţioase fără a necesita macrocomenzi, o tehnică adoptată pe scară largă de atacatori pentru a evita măsurile de securitate care blochează macrocomenzile în documentele specifice suitei Office a companiei Microsoft. Specific, odată accesate de către utilizatorii vizaţi, fişierele maliţioase execută un script PowerShell ascuns în structura acestora, care descarcă şi deschide un document fals pentru a distrage atenţia, în timp ce instalează malware-ul AsyncRAT pe sistemul victimei”, explică specialiştii.
Potrivit acestora, pentru descărcarea şi instalarea payload-urilor maliţioase în diferite etape ale atacului, atacatorii utilizează atât servere proxy de comandă şi control (C&C), cât şi soluţii de la furnizori de servicii de tip cloud cunoscute, precum Dropbox şi GoogleDrive.
„AsyncRAT este un troian de acces de la distanţă care permite atacatorilor să controleze sistemele infectate, să colecteze date şi să execute comenzi arbitrare. În campaniile recente, s-a observat că informaţiile C&C nu mai sunt codificate direct în malware, ci sunt transmise ca parametri în momentul executării, ceea ce îngreunează detectarea şi analizarea acestuia”, arată DNSC.
De asemenea, atacurile lansate de gruparea Konni vizează în principal exfiltrarea de date şi informaţii din sistemele vizate, metodele de operare în spaţiul cibernetic prezentând multiple similarităţi cu cele utilizate de către actorii statali APT37 şi Lazarus Group.
Recomandări
- Fiţi informaţi: Verificaţi regulat actualizările de la DNSC cu privire la riscurile, ameninţările şi vulnerabilităţile de securitate cibernetică.
- Utilizaţi parole puternice: Asiguraţi-vă că parolele dvs. sunt complexe şi unice pentru diferite conturi.
- Activaţi autentificarea cu doi factori: Aceasta adaugă un nivel suplimentar de securitate pentru conturile dvs. online.
- Realizaţi backup-ul datelor: Faceţi backup-ul regulat al fişierelor importante pe un disc extern sau un serviciu de tip cloud.
- Verificaţi tipul fişierului: Înainte de a rula un fişier, verificaţi tipul fişierului pentru a vă asigura că nu este un fişier „comandă rapidă” (LNK) care poate conţine coduri rău intenţionate. Dacă este un fişier LNK, evitaţi să îl rulaţi.
- Nu deschideţi ataşamente din e-mailuri necunoscute: Nu rulaţi ataşamente din e-mailuri care provin de la surse necunoscute sau care par suspecte. Aceste ataşamente pot conţine malware care poate infecta computerul dvs.
- Verificaţi expeditorul şi adresa de e-mail: Asiguraţi-vă că expeditorul e-mailului este o organizaţie de încredere şi că adresa de e-mail este validă. Dacă expeditorul sau adresa de e-mail pare suspectă, nu rulaţi ataşamentul.
- Scanare antivirus: Dacă bănuiţi că un ataşament este maliţios, încărcaţi-l într-o scanare antivirus sau platforme gratuite ca #VirusTotal pentru a verifica dacă acesta este suspect sau maliţios. Dacă se aplică o parolă de compresie, încărcaţi fişierul rezultat după decompresie.
