Skype експлуатується для розповсюдження DarkGate

Повернення шкідливого програмного забезпечення DarkGate викликало тривожну тенденцію, оскільки зловмисники тепер використовують Skype для розповсюдження цього хитромудрого завантажувача, повідомляє scmagazine.com.

Хоча DarkGate існує з 2017 року, його використання в кампаніях різко зросло останнім часом, особливо із середини цього року. Дослідники підозрюють, що сплеск активності пов’язаний із тим, що розробник шкідливого програмного забезпечення просуває його для оренди на форумах даркнету.

Минулого місяця дослідники Trusec помітили, що зловмисники з облікових записів Microsoft 365 надсилали в чат Teams повідомлення зі шкідливими посиланнями, які змушували жертв завантажувати DarkGate у вигляді скрипту VBA.

У публікації від 12 жовтня дослідники Trend Micro розповіли про поточну кампанію, у якій невідомі зловмисники намагалися розповсюдити DarkGate серед певних організацій. Ця кампанія, що спостерігалася з липня по вересень, використовувала платформу для обміну повідомленнями Skype, а також Teams.

Trend Micro повідомили, що 41 % атак було спрямовано на організації в Північній і Південній Америці, 31 % — в Азії, на Близькому Сході та в Африці, а решта 28 % — на Європу.

Метод, за допомогою якого були скомпрометовані облікові записи додатків для обміну миттєвими повідомленнями, залишається невизначеним. Є гіпотези, що припускають витік облікових даних із підпільних форумів або попередні порушення з боку материнської організації.

Отримавши доступ до облікового запису жертви в Skype, зловмисники перехоплювали наявний ланцюжок розмови, навіть перейменовуючи шкідливий скрипт VBS (замаскований під PDF-файл), щоб він відповідав контексту чату.

В іншому сценарії дослідники спостерігали, як зловмисники надсилали повідомлення, що містило шкідливий LNK-файл, зі зламаного облікового запису Microsoft Teams жертві в іншій організації. Ця тактика, подібна до тієї, що була описана компанією Trusec минулого місяця, є життєздатною лише в тому разі, якщо організація жертви дозволяє зовнішнім відправникам передавати повідомлення в Teams. Microsoft дає клієнтам змогу відключити цю функцію, хоча зазвичай вона ввімкнута за замовчуванням.

Третій спосіб доставлення скрипту VB передбачав розміщення LNK-файлу в стиснутому файлі, що надходив із сайту SharePoint відправника. Жертві пропонувалося перейти на сайт SharePoint і завантажити шахрайський файл під назвою «Значні зміни в компанії за вересмень.zip» (Significant company changes Septembger.zip).

Після виконання завантаження DarkGate забезпечував постійність, скидаючи LNK-файл із довільним ім’ям у папку запуску користувача Windows, що давало змогу автоматично запускати його за кожного запуску системи.

Спеціалісти Trend Micro повідомили, що в цих випадках атаки були виявлені та локалізовані до того, як зловмисники встигли досягти своїх цілей. Точні цілі зловмисників залишаються невідомими та можуть змінюватися, зважаючи на те, що DarkGate активно продавався різним злочинним угрупуванням у даркнеті.

«Кіберзлочинці можуть використовувати ці завантаження для зараження систем різними типами шкідливого програмного забезпечення, включно з викрадачами даних, програмами-вимагачами, шкідливими та/або скомпрометованими інструментами дистанційного керування, а також криптомайнерами», — зазначають дослідники.

Вони підкреслили, що атака на Skype скористалася платформою обміну повідомленнями, яка використовується для спілкування між організаціями та сторонніми постачальниками, що полегшило введення жертв в оману.

«Доки дозволені зовнішні повідомлення або зловживання довірчими взаєминами за допомогою скомпрометованих облікових записів, цей метод початкового проникнення може застосовуватися до будь-якої програми обміну миттєвими повідомленнями», — пояснили вони.

«Одержувач [фішингового повідомлення] був лише початковою ціллю, етапом із метою закріпитися в середовищі. Головне завдання досі полягає в проникненні в усе середовище, і, залежно від групи, яка купила або орендувала використовуваний варіант DarkGate, загрози можуть варіюватися від програм-вимагачів до криптомайнерів».