Pro-hackinggroepen draaien om nieuwe vorm van malware met 'AndroMut', gericht op financiële informatie en banken met behulp van social engineering

Een professionele hackgroep met geavanceerde technieken om phishing en andere vormen van malware-aanvallen uit te voeren, lijkt van richting te veranderen. Met een duidelijk doel om kwaliteit boven kwantiteit te stellen, heeft de beruchte TA505-groep hackers een nieuwe vorm van kwaadaardige code genaamd AndroMut gebruikt. Interessant is dat de malware geïnspireerd lijkt te zijn door Andromeda. Oorspronkelijk ontworpen door een andere hackgroep, was Andromeda in 2017 nog een van de grootste malware-botnets ter wereld. Botnets op basis van de Andromeda-code voerden met succes hun payload-levering uit op verschillende verdachte en kwetsbare pc's met Windows-besturingssysteem. De AndroMut lijkt grotendeels gebaseerd te zijn op deze Andromeda-code die wijst op een mogelijke samenwerking tussen de hackergroepen.

Een van 's werelds meest succesvolle cybercriminele groepen, die zichzelf de TA505 noemt, lijkt zijn tactiek te hebben gewijzigd. Als onderdeel van de nieuwste kwaadaardige campagne van het aanvallen en stelen van financiële informatie, is de groep bezig met het verspreiden van een nieuwe vorm van malware. In plaats van zich te richten op een groot aantal individuen, lijkt de TA505-groep als onderdeel van de spil achter banken en andere financiële diensten aan te gaan. Overigens blijft het punt van binnenkomst of herkomst hetzelfde, maar de beoogde doelgroep en focus lijkt op de georganiseerde financiële sector te liggen. Overigens wordt financiële bedrijven in de VS, de Verenigde Arabische Emiraten en Singapore geadviseerd alert te zijn en te letten op verdachte inhoud. Enkele van de meest voorkomende punten van de aanval zijn nog steeds officieel ogende e-mails.

TA505 Group gebruikt Andromeda Base om AndroMut . te ontwikkelen en te implementeren

De beruchte TA505-groep lijkt de afgelopen maand zijn intensiteit te hebben verhoogd en is met dezelfde wreedheid doorgegaan. Het probeert niet langer willekeurige golven van aanvallen in te zetten die proberen de machines van slachtoffers onder controle te krijgen. Met andere woorden, massale phishing-e-mails zijn niet langer de geprefereerde tactieken. In plaats daarvan heeft de TA505-groep het aantal aanvallen aanzienlijk verminderd en is duidelijk overgeschakeld op meer gerichte aanvallen.

Op basis van de analyse van verschillende vermoedelijke e-mails en andere vormen van elektronische communicatie en media, hebben cyberbeveiligingsonderzoekers van Bewijspunt hebben aangegeven dat de groep hackers zich lijkt te richten op medewerkers van banken en andere financiële dienstverleners. De onderzoekers hebben ook het gebruik van een nieuwe vorm van geavanceerde malware ontdekt. De onderzoekers noemen het AndroMut en hebben ontdekt dat de malware nogal wat overeenkomsten heeft met Andromeda. Andromeda, ontworpen en geïmplementeerd door een geheel andere groep hackers, is een van de meest succesvol uitgevoerde, gevaarlijke en een van de grootste netwerken van malware-botnets ter wereld. Tot 2017 verspreidde Andromeda zich overvloedig en installeerde het zichzelf met succes op kwetsbare pc's met het Windows-besturingssysteem.

Hoe voert de TA505-groep de malware-aanval uit?

Net als de meeste aanvallen van de andere TA505-groep, wordt ook de nieuwe AndroMut-malware verspreid via legitiem ogende e-mails. De phishing-aanvallen hebben betrekking op e-mails die er zeer officieel en authentiek uitzien en aanvoelen. Dergelijke e-mails beweren meestal facturen en andere documenten te bevatten die zogenaamd gerelateerd zijn aan bankieren en financiën. E-mails die bij phishing worden gebruikt, worden vaak zorgvuldig gemaakt. Hoewel verschillende e-mails het populaire PDF-document bevatten, lijken phishing-e-mails van de TA505-groep te vertrouwen op Word-documenten.

https://twitter.com/rsz619mania/status/1146387091598667777

Zodra het nietsvermoedende slachtoffer het geregen Word-document opent, vertrouwt de groep op social engineering om de aanval voort te zetten. Dit klinkt misschien ingewikkeld, maar eigenlijk is de aanval gebaseerd op een vrij oude methode van 'macro's' in Word-document. Doelgroepen worden geïnformeerd dat de informatie 'beschermd' is en dat ze bewerkingen moeten inschakelen om de inhoud ervan te kunnen zien. Hierdoor worden macro's ingeschakeld en kan AndroMut aan de machine worden geleverd. Deze malware downloadt vervolgens discreet FlawedAmmyy. Zodra beide zijn geïnstalleerd, zijn de machines van de slachtoffers volledig gecompromitteerd.

Wat is AndroMut en hoe werkt de multi-stage malware?

TA505 gebruikt momenteel AndroMut als de eerste fase in een aanval in twee fasen. Met andere woorden, AndroMut is het eerste onderdeel van een succesvolle infectie en controle van de computers van slachtoffers. Eenmaal succesvol in de penetratie, gebruikt AndroMut de infectie om discreet een tweede lading op de besmette machine te laten vallen. De tweede lading kwaadaardige code heet FlawedAmmyy. In wezen is FlawedAmmyy een krachtige en efficiënte Remote Access Trojan of RAT.

De agressieve tweede-traps RAT FlawedAmmyy is een virulente malware die op afstand toegang geeft tot de computers van de slachtoffers. Aanvallers kunnen op afstand beheerdersrechten krijgen. Eenmaal binnen hebben aanvallers volledige toegang tot bestanden, inloggegevens en meer.

Overigens zijn de data op zich niet het doelwit. Met andere woorden, het stelen van gegevens is niet de primaire bedoeling. Als onderdeel van de spil is de TA505-groep op zoek naar informatie die hen toegang geeft tot het interne netwerk van banken en andere financiële instellingen.

TA505 Group volgt het geld, zeggen experts:

Sprekend over de activiteiten van de hackgroep, Chris Dawson, leider van bedreigingsinformatie bij Bewijspunt zei: "De stap van A505 om voornamelijk RAT's en downloaders te verspreiden in veel meer gerichte campagnes dan ze voorheen gebruikten met banktrojans en ransomware suggereert een fundamentele verschuiving in hun tactiek. In wezen gaat de groep op zoek naar infecties van hogere kwaliteit met het potentieel voor inkomsten op langere termijn - kwaliteit boven kwantiteit."

Cybercriminelen zijn in wezen hun aanvallen aan het verfijnen en selecteren hun doelwitten in plaats van massale e-mailcampagnes te voeren en te hopen slachtoffers te pakken te krijgen. Ze zijn op zoek naar de gegevens, en nog belangrijker, gevoelige informatie, om geld te stelen. De nieuwste spil is in wezen slechts een voorbeeld van hackers die de markt en het geld volgen. Daarom moet de verschuiving in strategie niet als permanent worden beschouwd, merkte Dawson op, “Wat niet duidelijk is, is het uiteindelijke resultaat of het eindspel van deze verschuiving. De A505 volgt het geld zeer goed, past zich aan wereldwijde trends aan en onderzoekt nieuwe regio's en payloads om hun rendement te maximaliseren. "