UNC4990 besmet slachtoffers via USB-sticks en misbruikt populaire websites
Italiaanse gebruikers zijn doelwit van een aanvalscampagne waarbij de aanvallers via USB-sticks systemen besmetten. De aanvallers hosten hierbij hun malafide payload op populaire websites, waaronder Ars Technica, GitHub, GitLab en Vimeo. De aanvalscampagne loopt al zeker sinds 2020 en lijkt financiële winst als belangrijkste motief te hebben.
Hiervoor waarschuwt Mandiant, onderdeel van Google Cloud. Het beveiligingsbedrijf volgt UNC4990, een actor die in belangrijke mate op USB-sticks vertrouwt om systemen van slachtoffers te besmetten. Mandiant benadrukt dat hoewel de aanvallers gebruik maakten van populaire websites, hierbij geen beveiligingsproblemen of misconfiguraties zijn uitgebuit.
De aanval begint door het verspreiden van een geprepareerde USB-stick. Indien de gebruiker deze in zijn systeem steekt, opent een LNK-bestand dat explorer.ps1 uitvoert. Dit bestand downloadt op zijn beurt een JSON-payload van Vimeo of Ars Technica. Eerder maakten de aanvallers gebruik van GitHub voor het hosten van componenten van hun infectieketen. Later zijn de aanvallers echter overgestapt op Vimeo en Ars Technica.
explorer.ps1 voert het malafide JSON-bestand uit en haalt vervolgens een payload op in de vorm van EMPTYSPACE Downloader. Met behulp van EMPTYSPACE kunnen de aanvallers via een command & control-server verdere payloads downloaden naar het geïnfecteerde systeem. Tot slot installeren de aanvallers in veel gevallen de backdoor QUIETBOARD om toegang tot het systeem te verzekeren.
Dat het hier om een powershell script gaat en niet om een binary, maakt het nauwelijks minder erg.
Dat het hier om een powershell script gaat en niet om een binary, maakt het nauwelijks minder erg.
In addition to this, the icon of the LNK file was set to the Microsoft Windows default icon for drives. This was likely done to entice unsuspecting users to double click the file, ultimately triggering the functionality embedded in the LNK file.
Check maar eens met process monitor, want explorer.exe is niet het enige proces dat nieuwe USB sticks verkend...
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
