«VIP Keylogger: Χάκερ χρησιμοποιούν phishing μέσω email»

Μια νέα καμπάνια κυβερνοεπίθεσης έχει προκαλέσει ανησυχία, καθώς χάκερ εκμεταλλεύονται παραπλανητικά μηνύματα ηλεκτρονικού ταχυδρομείου για να διαδώσουν ένα επικίνδυνο κακόβουλο λογισμικό, γνωστό ως VIP Keylogger. Αυτά τα μηνύματα, ντυμένα σαν επαγγελματικά έγγραφα, έχουν στόχο να παραπλανήσουν τους χρήστες και να τους ωθήσουν να ανοίξουν επισυναπτόμενα αρχεία που περιέχουν την κρυφή απειλή.

Η καμπάνια είναι ενεργή εδώ και μήνες και δείχνει καμία ένδειξη ανάσχεσης. Ο VIP Keylogger αποτελεί μέρος μιας ευρύτερης τάσης κακόβουλου λογισμικού που στοχεύει σε χρήστες με στόχο την κλοπή ευαίσθητων πληροφοριών. Ειδικοί στον τομέα της κυβερνοασφάλειας αναφέρουν ότι η τακτική αυτή έχει εξελιχθεί, ενσωματώνοντας προηγμένες μεθόδους για να διατηρεί την αόρατη παρουσία της, εξαπατώντας τους χρήστες.

Το VIP Keylogger έχει σχεδιαστεί να συλλέγει δεδομένα γρήγορα και διακριτικά, είτε λειτουργώντας ως αυτόνομο εργαλείο είτε ανοίγοντας τον δρόμο για πιο επιβλαβείς επιθέσεις. Σύμφωνα με τους αναλυτές του Splunk Threat Research Team (STRT), η χρήση τακτικών κοινωνικής μηχανικής έχει αυξηθεί σημαντικά, κάνοντάς τους επιτιθέμενους πιο επικίνδυνους.

Σύμφωνα με έκθεση της ερευνητικής ομάδας του Splunk Threat, οι επιτιθέμενοι επιλέγουν στρατηγικά το περιεχόμενο των ηλεκτρονικών μηνυμάτων, χρησιμοποιώντας παραπλανητικούς τίτλους και προσφορές που φαίνονται νόμιμες, όπως ειδοποιήσεις πληρωμών ή ενημερώσεις υποστήριξης.

Αν και μπορεί να φαίνεται αθώο, η εκτέλεση ενός τέτοιου αρχείου ενεργοποιεί μια αλυσίδα αποτελεσμάτων που οδηγεί στην εγκατάσταση του keylogger στο σύστημα του χρήστη. Η διαδικασία μόλυνσης είναι πολύπλοκη και σχεδιασμένη με προσοχή ώστε να παραμένει μακριά από τα μάτια των χρηστών.

Μέχρι η απειλή να γίνει ενεργή, το κακόβουλο λογισμικό έχει ήδη ενσωματωθεί σε μια νόμιμη διαδικασία των Windows, καθιστώντας την ανίχνευσή του ιδιαίτερα δύσκολη.

Η ομάδα του STRT έχει αναλύσει περισσότερα από 200 δείγματα του VIP Keylogger, χρησιμοποιώντας δεδομένα από το VirusTotal για την κατανόηση του τρόπου με τον οποίο ο ιός ονομάζεται και διανέμεται. Η έρευνα αυτή ρίχνει φως σε μια από τις πιο επιμPersistent οικογένειες κακόβουλου λογισμικού που στοχεύουν σε χρήστες Windows διεθνώς.

Μηνύματα ηλεκτρονικού ψαρέματος παραδίδουν το VIP Keylogger μέσω πολυεπίπεδων φορτωτών

Η διαδικασία της μόλυνσης ξεκινά με την αποστολή ενός αρχείου σεναρίου, το οποίο μπορεί να είναι μια δέσμη ενεργειών της Visual Basic (.vbs), ένα αρχείο JavaScript (.js), ή μια δέσμη ενεργειών (.bat). Οι επιτιθέμενοι χρησιμοποιούν τεχνικές αφαίρεσης που καθιστούν την ανίχνευση δύσκολη, κρύβοντας την ύλη του κακόβουλου λογισμικού σε μεγάλα μπλοκ χωρίς νόημα.

Το αρχείο .vbs ενσωματώνει το κακόβουλο ωφέλιμο φορτίο του, το οποίο εκτελείται μέσω μιας αλυσίδας PowerShell που κρύβεται σε μεταβλητές περιβάλλοντος, αφήνοντας μια ευδιάκριτη υπογραφή στο μητρώο των Windows.

Ένα από τα πιο ευρηματικά κόλπα του VIP Keylogger είναι η χρήση στεγανογραφίας, όπου ο κακόβουλος κώδικας κρύβεται μέσα σε αρχεία εικόνας. Τα σενάρια PowerShell κατεβάζουν εικόνες από απομακρυσμένους διακομιστές, οι οποίες περιέχουν κωδικοποιημένα στοιχεία του τελικού ωφέλιμου φορτίου.

Δυνατότητες του VIP Keylogger και πώς να το εντοπίσετε

Αφού εγκατασταθεί, το VIP Keylogger αποτελεί σοβαρή απειλή. Καταγράφει κάθε πάτημα πλήκτρου, στέλνει περιοδικά στιγμιότυπα της οθόνης, και κλέβει αποθηκευμένους κωδικούς και cookies από δημοφιλή προγράμματα περιήγησης.

Επιπλέον, παρακολουθεί το περιεχόμενο του προχείρου, αντικαθιστώντας κρυφά διευθύνσεις πορτοφολιού κρυπτονομισμάτων με τις δικές του. Το κακόβουλο λογισμικό έχει πολλούς που είναι υπεύθυνοι για τη σύνδεση με διακομιστές C&C (Command and Control), ακόμη και μέσω ενός bot Telegram.

Ο STRT προτείνει παρακολούθηση αλλαγών στο μητρώο που σχετίζονται με το κλειδί UserInitMprLogonScript και την εκπαίδευση των χρηστών για την αναγνώριση phishing μηνυμάτων. Είναι επίσης σημαντικό να παρακολουθούνται οι DNS ερωτήσεις προς τον τομέα API του Telegram, οι οποίες μπορεί να υποδεικνύουν δραστηριότητα εξαγωγής δεδομένων.

Δείκτες Συμβιβασμού (IoCs):

Σημείωση: Οι διευθύνσεις IP και οι τομείς είναι σκόπιμα αλλοιωμένοι (π.χ. [.]) για την αποφυγή τυχαίας επίλυσης ή υπερσύνδεσης. Re-fang μόνο σε ελεγχόμενες πλατφόρμες πληροφοριών απειλών όπως το MISP, το VirusTotal ή το SIEM σας.