Nowa grupa cyberprzestępcza na horyzoncie. W tle oszustwa przy pomocy gier i aplikacji

Na ślady wrogich działań wpadli specjaliści Talos. Zagrożenie połączyli z tzw. grupą Magnat, funkcjonującą od 2018 roku, której główną specjalizacją jest rozprzestrzenianie złośliwego oprogramowania. Ich działania koncentrują się na instalacji backdoorów i rozszerzenia do przeglądarek Chrome w celu wykradania danych użytkowników. 

Istnieją dwie nieznane wcześniej rodziny wirusów, które są wykorzystywane przez członków grupy w ostatnich dwóch kampaniach. Zdaniem ekspertów cyberprzestępcy opracowali zupełnie nowe rozwiązania. 

Specjalizacja „Magnatów”

W prawie wszystkich kampaniach łączonych z działalnością grupy Magnat, atakujący umieszczają dwa rodzaje złośliwego oprogramowania. Mowa tu o Azorult i Redline, które służą do wykradania haseł.

Jako główny backdoor wykorzystują tzw. MagnatBackdoor. Konfiguruje on docelowe systemy do dostępu RDP, dodaje nowego użytkownika, ustawia zaplanowane zadanie i tworzy wychodzący tunel SSH, który przekazuje usługę RDP.

Autorska wtyczka Chroma również otrzymała swój imienny odpowiednik, czyli MagnatExtension. To rozszerzenie posiada wiele funkcji umożliwiających kradzież danych z przeglądarki internetowej, w tym przechwytywanie zrzutów ekranu, kradzieży plików cookie, przechwytywanie formularzy, keyloggerów, czy wykonywanie dowolnych skryptów JavaScript.

Nowy gracz, stary motyw

Głównym motywem ataku napastników jest oczywiście zysk finansowy, który wynika głównie ze sprzedaży skradzionych danych uwierzytelniających, oszukańczych transakcji i zdalnego dostępu do pulpitów swoich ofiar.

Głównymi kierunkami cyberprzestępców były do tej pory: Kanada (którą dotknęło ponad 50% wszystkich ataków), Australia, Stany Zjednoczone oraz niektóre państwa Unii Europejskiej. 

Autor: Aleksander Mazur

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.