Kaspersky Lab heeft PseudoManuscrypt-malware gedetecteerd die industriële organisaties aanvalt
Kaspersky ICS CERT-experts hebben de BijnaamManuscrypt malware, die meer aanviel dan 35,000 computers in 195 landen tussen januari 20 en november 10, 2021. De lijst met aangevallen objecten bevat een aanzienlijk aantal industriële en overheidsorganisaties, met inbegrip van ondernemingen van het militair-industriële complex en onderzoekslaboratoria.
Onderzoekers zeggen dat tenminste 7.2% van computers aangevallen door BijnaamManuscrypt maken deel uit van industriële automatiseringssystemen (ICS) in organisaties van verschillende industrieën.
De malware kreeg de naam PseudoManuscrypt omdat de lader vergelijkbaar is met de Manuscryptie malware-lader, die deel uitmaakt van het arsenaal van de Lazarus groep hacken.
De PseudoManuscrypt-downloader komt het systeem binnen via de: Malware-as-a-Service (MaaS) platform, die kwaadaardige installatieprogramma's verspreidt onder het mom van illegale software. In sommige gevallen, dit gebeurde via de Dom botnet (waarvan het hoofdinstallatieprogramma ook wordt verspreid onder het mom van illegale software).
Volgens experts, de belangrijkste kwaadaardige module PseudoManuscrypt heeft veel spionagefuncties, inclusief het stelen van VPN-verbindingsgegevens, toetsaanslagen registreren, screenshots en opnames maken van schermvideo's, geluid opnemen van een microfoon, gegevens stelen van het klembord en de loggegevens van de operatiekamer. systemen (waarmee het ook mogelijk is om gegevens over RDP-verbindingen te stelen).
Onder de computers die werden aangevallen, bevinden zich veel technische machines, inclusief fysieke en 3D-modelleringssystemen voor de ontwikkeling en het gebruik van digitale tweelingen. Hierdoor konden experts aannemen dat een van de mogelijke doelen van de campagne industriële spionage is.
Er zijn ook twee feiten in het bedrijfsrapport. Eerste, de PseudoManuscrypt-downloader deelt overeenkomsten met de Manuscrypt-malwaredownloader die door Lazarus wordt gebruikt in zijn 2020 aanvallen op defensiebedrijven in verschillende landen. Seconde, om gestolen gegevens over te dragen aan de aanvallers’ server, PseudoManuscrypt gebruikt een implementatie van het zeldzame KCP-protocol, die voorheen alleen werd gezien in de malware die werd gebruikt door APT41.
Echter, het ontbreken van een duidelijke focus in de verdeling van een groot aantal slachtoffers, wat niet kenmerkend is voor gerichte cybercampagnes, staat niet toe om deze campagne ondubbelzinnig te koppelen aan Lazarus of enige andere APT.
Laat me je eraan herinneren dat we het ook hadden over het feit dat Onderzoekers ontdekten ALPHV ransomware geschreven in Rust.
