Kaspersky Lab ตรวจพบมัลแวร์ PseudoManuscrypt ที่โจมตีองค์กรอุตสาหกรรม

Kaspersky ICS CERT experts detected the PseudoManuscrypt มัลแวร์, which attacked more than 35,000 computers in 195 countries between January 20 and November 10, 2021. The list of attacked objects includes a significant number of industrial and government organizations, including enterprises of the military-industrial complex and research laboratories.

Researchers say that at least 7.2% of computers attacked by PseudoManuscrypt are part of industrial automation systems (ICS) in organizations of various industries.

The malware was named PseudoManuscrypt because its loader is similar to the Manuscrypt malware loader, which is part of the arsenal of the Lazarus hack group.

Manuscrypt

The PseudoManuscrypt downloader enters the system through the Malware-as-a-Service (MaaS) platform, which distributes malicious installers under the guise of pirated software. ในบางกรณี, this happened through the Glupteba บ็อตเน็ต (the main installer of which is also distributed under the guise of pirated software).

Google Find

ตามที่ผู้เชี่ยวชาญ, the main malicious module PseudoManuscrypt has many spy functions, including stealing VPN connection data, logging keystrokes, taking screenshots and recordings of screen videos, recording sound from a microphone, stealing data from the clipboard and operating room event log data. systems (which also makes it possible to steal data about RDP connections).

Among the computers that were attacked are many engineering machines, including physical and 3D modeling systems for the development and use of digital twins. This allowed experts to assume that one of the possible targets of the campaign is industrial espionage.

There are also two facts in the company’s report. อันดับแรก, the PseudoManuscrypt downloader shares similarities with the Manuscrypt malware downloader used by Lazarus in its 2020 attacks against defence companies in various countries. Second, to transfer stolen data to the attackersserver, PseudoManuscrypt uses an implementation of the rare KCP protocol, which was previously seen only in the malware used by APT41.

อย่างไรก็ตาม, the lack of an obvious focus in the distribution of a large number of victims, which is not characteristic of targeted cyber campaigns, does not allow unambiguously linking this campaign with Lazarus or any other APT.

This is a very unusual campaign and we are still analysing the available information. อย่างไรก็ตาม, one fact is clear: this is a threat that professionals need to pay attention to. It affected tens of thousands of computers and was able to spread to thousands of ICS computers, compromising many industrial organizations around the world. We will continue our research and keep the cybersecurity community up to date.ความคิดเห็น Vyacheslav Kopeytsev, an industrial security expert at Kaspersky Lab.

ฉันขอเตือนคุณว่าเรายังได้พูดคุยเกี่ยวกับความจริงที่ว่า Researchers discovered ALPHV ransomware written in Rust.

เฮลก้า สมิธ

ฉันสนใจวิทยาการคอมพิวเตอร์มาโดยตลอด, โดยเฉพาะความปลอดภัยของข้อมูลและธีม, ซึ่งเรียกกันในปัจจุบันว่า "วิทยาศาสตร์ข้อมูล", ตั้งแต่วัยรุ่นตอนต้นของฉัน. ก่อนจะมาอยู่ในทีมกำจัดไวรัสในตำแหน่งหัวหน้าบรรณาธิการ, ฉันทำงานเป็นผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ในหลายบริษัท, รวมถึงหนึ่งในผู้รับเหมาของ Amazon. ประสบการณ์อื่น: ฉันได้สอนในมหาวิทยาลัยอาร์เดนและรีดดิ้ง.

ทิ้งคำตอบไว้

เว็บไซต์นี้ใช้ Akismet เพื่อลดสแปม. เรียนรู้วิธีประมวลผลข้อมูลความคิดเห็นของคุณ.

ปุ่มกลับไปด้านบน