Astralocker adlı daha az bilinen bir fidye yazılımı suşu yakın zamanda ikinci büyük sürümünü yayınladı ve tehdit analistlerine göre, operatörleri yükünü doğrudan e-posta eklerinden düşüren hızlı saldırılara giriyor.
Bu yaklaşım oldukça sıra dışıdır, çünkü e -posta saldırılarını tipik olarak karakterize eden tüm ara adımlar, algılamadan kaçmaya ve e -posta güvenlik ürünlerinde kırmızı bayrak yükseltme şansını en aza indirmeye yardımcı olmak için vardır.
Astralocker operasyonlarını takip eden ReversingLabs'a göre, rakipler keşif, değerli dosyaların değerlendirilmesi ve yanal ağ hareketini önemsiyor gibi görünüyor.
Bunun yerine, hızlı bir ödeme amaçlayan maksimum güçle hemen vurulmasına "Smash-n-grab" saldırıları yapıyorlar.
Astralocker 2.0'ın operatörleri tarafından kullanılan cazibe, fidye yazılımı yükü ile bir OLE nesnesini gizleyen bir Microsoft Word belgesidir. Gömülü Yürütülebilir, “worddocumentdoc.exe” dosya adını kullanır.
Yükü yürütmek için kullanıcının, belgeyi açtıktan sonra görünen uyarı iletişim kutusunda "Çalıştır" ı tıklaması ve tehdit aktörleri için başarı şansını daha da azaltması gerekir.
Bu yığın yaklaşımı, Astra’nın genel “Smash-n-grab” taktiği ile uyumludur ve kötü amaçlı yazılım dağılımında daha yaygın olan VBA makroları yerine OLE nesneleri seçer.
Başka bir tuhaf seçim, eski ve modası geçmiş bir paketleyici olan yürütülebilir dosyayı paketlemek için Safeengine Shielder v2.4.0.0'ın kullanılmasıdır.
Fidye yazılımının sanal bir makinede çalışmadığından ve diğer aktif işlemlerde hiçbir hata ayıklayıcı yüklenmediğinden emin olmak için bir anti-analiz kontrolünden sonra, kötü amaçlı yazılım Sistemi Curve25519 algoritmasını kullanarak şifreleme için hazırlar.
Hazırlık, şifrelemeyi tehlikeye atabilecek öldürme süreçlerini, kurban için restorasyonu kolaylaştırabilecek hacim gölge kopyalarını silmeyi ve yedekleme ve AV hizmetlerinin bir listesini durdurmayı içerir. Geri dönüşüm kutusu, içeriğini şifrelemek yerine basitçe boşaltılır.
ReversingLabs'ın kod analizine göre, Astralocker, Eylül 2021'de alandan çıkan buggy ama yine de tehlikeli bir fidye yazılımı suşu olan Babuk'un sızdırılmış kaynak koduna dayanıyor.
Ek olarak, fidye notunda listelenen Monero cüzdan adreslerinden biri Kaos Fidye Yazılımları operatörleriyle bağlantılıdır.
Bu, aynı operatörlerin hem kötü amaçlı yazılımların arkasında olduğu veya aynı hackerların her iki fidye yazılımı projesinde de bağlı olduğu anlamına gelebilir, bu da nadir değildir.
En son kampanyayı destekleyen taktiklerden yola çıkarak, bu sofistike bir aktörün işi değil, mümkün olduğunca çok yıkıcı saldırı sağlamaya kararlı bir aktör gibi görünüyor.
Google Drive şimdi sizi şüpheli kimlik avı, kötü amaçlı yazılım belgeleri konusunda uyarıyor
Sahte telif hakkı ihlali e -postaları Lockbit fidye yazılımı yükleyin
PDF, Microsoft Word Doc'u Snake Keylogger Kötü Yazılım
Yeni Bumblebee kötü amaçlı yazılım, Conti'nin Bazar yükleyicisinin siber saldırılarda değiştirilmesi
Netwalker Fidye Yazılımı Satış Ortağı 80 ay hapis cezasına çarptırıldı
Kaynak: Bleeping Computer