XFILES Info-Stealer kötü amaçlı yazılım, yük yükünü hedef bilgisayarlara bırakmak için CVE-2022-30190, yani Follina'dan yararlanan bir dağıtım modülü ekledi.
Mayıs ayı sonunda sıfır gün olarak keşfedilen ve 14 Haziran'daki Microsoft’un Windows güncellemesiyle sabitlenen kusur, PowerShell komutlarının yalnızca bir kelime belgesi açarak yürütülmesini sağlar.
Xfiles kötü amaçlı yazılım durumunda, CyberInt'deki araştırmacılar, kötü amaçlı yazılımları teslim eden son kampanyaların yükü indirmek, yürütmek ve aynı zamanda hedef makinede kalıcılık oluşturmak için Follina'yı kullandığını fark ettiler.
Büyük olasılıkla spam e -postası yoluyla hedefe ulaşan kötü niyetli belge, Follina'yı kullanan JavaScript kodu içeren harici bir kaynaktaki bir HTML dosyasına işaret eden bir OLE nesnesi içerir.
Bu, Windows başlangıç dizininde kalıcılık oluşturmak ve kötü amaçlı yazılımları yürütmek için PowerShell komutları içeren Base64 kodlu bir dizenin getirilmesiyle sonuçlanır.
İkinci aşama modül, “chimlacupdate.exe” dosya adını kullanır ve sert kodlanmış şifreli kabuk kodu ve AES şifre çözme anahtarı içerir. Bir API çağrısı ile aynı çalışma işleminde şifre çözülür ve yürütülür.
Enfeksiyon işlemi tamamlandıktan sonra, XFILES, çerezleri, şifreleri ve web tarayıcılarında, kripto para birimi cüzdanlarında depolanan geçmişi hedefleme, ekran görüntüleri alarak ve anlaşmazlık ve telgraf kimlik bilgilerini hedefleme gibi tipik info-stealer kötü amaçlı yazılım işlemlerine başlar.
Dosyalar yerel olarak yeni oluşturulan dizinlerde saklanır ve sonunda iletişim platformundaki anonimlikten yararlanarak Telegram ile eksfiltratlanır.
Cyberint bir süredir 'Xfiles Reborn' operasyonunu takip ediyor ve arkasındaki grubun yeni üyeler alıp yeni projeler başlatarak genişlediğini belirtiyor.
Dikkate değer bir işe alım, siber suçlu yeraltında hızla çekiş kazanan ancak yaratıcı Xfiles'a katıldığında aniden kesilen bir info-stealer olan 'Whisper Project' yazarı idi.
Grup tarafından bu yılın başlarında başlatılan yeni projelerden birine, Monero, Toncoin ve Ravecoin'i destekleyen son derece kaçamaklı ve gizli bir madenci olarak ilan edilen 'Punisher Miner' deniyor.
Yeni madencilik aracı 500 ruble (9 $) için satılıyor, bu da bir aylık info-stealer kiralamak için Xfiles ücretleri kadar.
Sonuç olarak, çete, kullanıcılarına deneyim veya kodlama bilgisi gerektirmeyen daha “dağıtmaya hazır” araçlar sunmak için yetenekli kötü amaçlı yazılım yazarlarını işe alarak daha büyük ve daha üretken büyüyor gibi görünüyor.
Follina atma belgesinin dahil edilmesi enfeksiyon sürtünmesini azaltır ve başarılı saldırıların oranını arttırır.
YENİ YTSTEALER KAYNAK YAZILIĞI YOUTUBE Creators'ın Hesaplarını Çalar
Raccoon Stealer, şifrelerinizi çalmak için yeni bir sürümle geri döndü
Eternity Malware kiti stealer, madenci, solucan, fidye yazılımı araçları sunar
Alman otomobil üreticileri yıl süren kötü amaçlı yazılım kampanyasını hedef aldı
Google Play Store'daki Android kötü amaçlı yazılım 2 milyon indirme alıyor
Kaynak: Bleeping Computer