Společnost Kaspersky Lab zjistila malware PseudoManuscrypt, který napadá průmyslové organizace

Odborníci Kaspersky ICS CERT zjistili Přezdívka Manuscrypt malware, která napadla více než 35,000 počítače v 195 zemí mezi lednem 20 a listopadu 10, 2021. Seznam napadených objektů zahrnuje značný počet průmyslových a vládních organizací, včetně podniků vojensko-průmyslového komplexu a výzkumných laboratoří.

Tvrdí to alespoň výzkumníci 7.2% počítačů napadených Přezdívka Manuscrypt jsou součástí systémů průmyslové automatizace (ICS) v organizacích různých průmyslových odvětví.

Malware byl pojmenován PseudoManuscrypt, protože jeho zavaděč je podobný Manuscrypt zavaděč malwaru, která je součástí arzenálu Lazar hackovací skupina.

Stahovací program PseudoManuscrypt vstoupí do systému přes Malware-as-a-Service (MaaS) plošina, která distribuuje škodlivé instalační programy pod rouškou pirátského softwaru. V některých případech, to se stalo přes Hloupý botnet (jehož hlavní instalační program je rovněž distribuován pod rouškou pirátského softwaru).

Podle odborníků, hlavní škodlivý modul PseudoManuscrypt má mnoho špionážních funkcí, včetně krádeže dat připojení VPN, protokolování stisků kláves, pořizování snímků obrazovky a nahrávání videí na obrazovce, nahrávání zvuku z mikrofonu, krádež dat ze schránky a dat protokolu událostí operačního sálu. systémy (což také umožňuje ukrást data o připojení RDP).

Mezi počítači, které byly napadeny, je mnoho inženýrských strojů, včetně fyzických a 3D modelovacích systémů pro vývoj a použití digitálních dvojčat. To umožnilo odborníkům předpokládat, že jedním z možných cílů kampaně je průmyslová špionáž.

Ve zprávě společnosti jsou také dvě skutečnosti. První, stahovač PseudoManuscrypt sdílí podobnosti se stahovačem malwaru Manuscrypt, který používá Lazarus ve svých 2020 útoky na obranné společnosti v různých zemích. Druhý, předat ukradená data útočníkům’ server, PseudoManuscrypt využívá implementaci vzácného protokolu KCP, který byl dříve viděn pouze v malwaru používaném APT41.

nicméně, nedostatek zjevného zaměření na distribuci velkého počtu obětí, což není charakteristické pro cílené kybernetické kampaně, neumožňuje jednoznačně propojit tuto kampaň s Lazarusem nebo jiným APT.

Připomínám, že jsme o tom také hovořili Výzkumníci zjistili ALPHV ransomware napsaný v Rustu.