Kaspersky Lab wykrył szkodliwe oprogramowanie PseudoManuscrypt, które atakuje organizacje przemysłowe
Eksperci z Kaspersky ICS CERT wykryli PseudonimManuscrypt złośliwe oprogramowanie, który zaatakował więcej niż 35,000 komputery w 195 kraje od stycznia 20 i listopad 10, 2021. Lista zaatakowanych obiektów obejmuje znaczną liczbę organizacji przemysłowych i rządowych, w tym przedsiębiorstwa kompleksu wojskowo-przemysłowego oraz laboratoria badawcze,.
Naukowcy twierdzą, że przynajmniej 7.2% komputerów zaatakowanych przez PseudonimManuscrypt wchodzą w skład systemów automatyki przemysłowej (ICS) w organizacjach różnych branż.
Szkodnik został nazwany PseudoManuscrypt, ponieważ jego program ładujący jest podobny do Manuskrypt program ładujący złośliwe oprogramowanie, który jest częścią arsenału Łazarz grupa hakerów.
Program do pobierania PseudoManuscrypt wchodzi do systemu przez Złośliwe oprogramowanie jako usługa (MaaS) Platforma, która rozpowszechnia złośliwe programy instalacyjne pod przykrywką pirackiego oprogramowania;. W niektórych przypadkach, stało się to przez Głupi botnet (którego główny instalator jest również rozpowszechniany pod przykrywką pirackiego oprogramowania).
Według ekspertów, główny złośliwy moduł PseudoManuscrypt posiada wiele funkcji szpiegowskich, w tym kradzież danych połączenia VPN, rejestrowanie naciśnięć klawiszy, robienie zrzutów ekranu i nagrywanie filmów z ekranu, nagrywanie dźwięku z mikrofonu, kradzież danych ze schowka i danych dziennika zdarzeń sali operacyjnej;. systemy (co umożliwia również kradzież danych o połączeniach RDP).
Wśród zaatakowanych komputerów jest wiele maszyn inżynieryjnych, w tym systemy modelowania fizycznego i 3D do rozwoju i wykorzystania cyfrowych bliźniaków. Pozwoliło to ekspertom przypuszczać, że jednym z możliwych celów kampanii jest szpiegostwo przemysłowe.
W raporcie firmy są też dwa fakty. Pierwszy, program do pobierania PseudoManuscrypt ma podobieństwa do narzędzia do pobierania złośliwego oprogramowania Manuscrypt używanego przez Lazarusa w jego 2020 ataki na firmy obronne w różnych krajach. Drugi, przekazywać skradzione dane atakującym’ serwer, PseudoManuscrypt wykorzystuje implementację rzadkiego protokołu KCP, które wcześniej było widoczne tylko w złośliwym oprogramowaniu używanym przez APT41.
jednak, brak wyraźnego skupienia na rozmieszczeniu dużej liczby ofiar, co nie jest charakterystyczne dla ukierunkowanych kampanii cybernetycznych, nie pozwala na jednoznaczne powiązanie tej kampanii z Lazarusem lub jakimkolwiek innym APT.
Przypomnę, że rozmawialiśmy też o tym, że Naukowcy odkryli ALPHV ransomware napisane w języku Rust.
