Kaspersky Lab ha rilevato il malware PseudoManuscrypt che attacca le organizzazioni industriali
Gli esperti di Kaspersky ICS CERT hanno rilevato il SoprannomeManuscrypt il malware, che ha attaccato più di 35,000 computer in 195 paesi tra gennaio 20 e novembre 10, 2021. L'elenco degli oggetti attaccati include un numero significativo di organizzazioni industriali e governative, comprese le imprese del complesso militare-industriale e laboratori di ricerca.
I ricercatori dicono che almeno 7.2% di computer attaccati da SoprannomeManuscrypt fanno parte dei sistemi di automazione industriale (ICS) in organizzazioni di vari settori.
Il malware è stato chiamato PseudoManuscrypt perché il suo caricatore è simile al Manuscrypt caricatore di malware, che fa parte dell'arsenale del Lazzaro gruppo hacker.
Il downloader PseudoManuscrypt entra nel sistema attraverso il Malware-as-a-Service (MaaS) piattaforma, che distribuisce programmi di installazione dannosi con il pretesto di software piratato. In alcuni casi, questo è successo attraverso il Stupido botnet (il cui programma di installazione principale è distribuito anche sotto forma di software piratato).
Secondo gli esperti, il modulo dannoso principale PseudoManuscrypt ha molte funzioni spia, incluso il furto dei dati di connessione VPN, registrazione delle sequenze di tasti, acquisizione di schermate e registrazioni di video su schermo, registrazione del suono da un microfono, rubare dati dagli appunti e dai dati del registro eventi della sala operatoria. sistemi (che consente anche di rubare dati sulle connessioni RDP).
Tra i computer che sono stati attaccati ci sono molte macchine ingegneristiche, compresi i sistemi di modellazione fisica e 3D per lo sviluppo e l'uso di gemelli digitali. Ciò ha permesso agli esperti di presumere che uno dei possibili obiettivi della campagna sia lo spionaggio industriale.
Ci sono anche due fatti nel rapporto dell'azienda. Primo, il downloader PseudoManuscrypt condivide somiglianze con il downloader malware Manuscrypt utilizzato da Lazarus nel suo 2020 attacchi contro società di difesa in vari paesi. Secondo, trasferire i dati rubati agli aggressori’ server, PseudoManuscrypt utilizza un'implementazione del raro protocollo KCP, che in precedenza era visto solo nel malware utilizzato da APT41.
però, la mancanza di un focus evidente nella distribuzione di un gran numero di vittime, che non è caratteristico delle campagne informatiche mirate, non consente il collegamento inequivocabile di questa campagna con Lazarus o qualsiasi altro APT.
Vi ricordo che abbiamo parlato anche del fatto che I ricercatori hanno scoperto ALPHV ransomware scritto in Rust.
