Kaspersky Lab har opdaget PseudoManuscrypt-malware, der angriber industrielle organisationer
Kaspersky ICS CERT-eksperter opdagede Kaldenavn Manuscrypt malware, som angreb mere end 35,000 computere i 195 lande mellem januar 20 og november 10, 2021. Listen over angrebne objekter omfatter et betydeligt antal industrielle og statslige organisationer, herunder virksomheder i det militær-industrielle kompleks og forskningslaboratorier.
Det siger forskere i hvert fald 7.2% af computere angrebet af Kaldenavn Manuscrypt er en del af industrielle automationssystemer (ICS) i organisationer i forskellige brancher.
Malwaren fik navnet PseudoManuscrypt, fordi dens loader ligner Manuscrypt malware loader, som er en del af arsenalet af Lazarus hack gruppe.
PseudoManuscrypt-downloaderen kommer ind i systemet gennem Malware-som-en-tjeneste (MaaS) platform, som distribuerer ondsindede installatører under dække af piratkopieret software. I nogle tilfælde, dette skete gennem Dum botnet (hvis hovedinstallationsprogram også distribueres under dække af piratkopieret software).
Ifølge eksperter, det ondsindede hovedmodul PseudoManuscrypt har mange spionfunktioner, herunder stjæle VPN-forbindelsesdata, logge tastetryk, tage skærmbilleder og optagelser af skærmvideoer, optagelse af lyd fra en mikrofon, stjæle data fra udklipsholderen og operationsstuens hændelseslogdata. systemer (hvilket også gør det muligt at stjæle data om RDP-forbindelser).
Blandt de computere, der blev angrebet, er mange tekniske maskiner, herunder fysiske og 3D-modelleringssystemer til udvikling og brug af digitale tvillinger. Dette gjorde det muligt for eksperter at antage, at et af de mulige mål for kampagnen er industrispionage.
Der er også to fakta i virksomhedens rapport. Først, PseudoManuscrypt-downloaderen deler ligheder med Manuscrypt-malware-downloaderen, der bruges af Lazarus i sin 2020 angreb mod forsvarsvirksomheder i forskellige lande. Anden, at overføre stjålne data til angriberne’ server, PseudoManuscrypt bruger en implementering af den sjældne KCP-protokol, som tidligere kun blev set i den malware, der blev brugt af APT41.
Imidlertid, manglen på et åbenlyst fokus i fordelingen af et stort antal ofre, hvilket ikke er karakteristisk for målrettede cyberkampagner, tillader ikke entydigt at forbinde denne kampagne med Lazarus eller nogen anden APT.
Lad mig minde dig om, at vi også talte om, at Forskere opdagede ALPHV ransomware skrevet i Rust.
