FBI upozorio na dva nova malvera koje koristi grupa Hidden Cobra

Opisi virusa, 31.05.2018, 09:00 AM

US-CERT je objavio zajedničko upozorenje DHS-a i FBI-a, upozoravajući na dva novootkrivena malvera koje koristi severnokorejska APT hakerska grupa poznata pod nazivom Hidden Cobra.

Veruje se da grupu Hidden Cobra, koja je poznata i pod nazivima Lazarus Group i Guardians of Peace, podržava vlade Severne Koreje. Grupa je poznata po napadima na medije, vazduhoplovnu industriju, finansijske institucije i kritičnu infrastrukturu širom sveta. Hidden Cobra je navodno povezana i sa hakovanjem Sony Pictures 2014. godine, kao i SWIFT Banking napadom 2016. godine.

Sada su američko Ministarstvo za unutrašnju bezbednost (DHS) i FBI otkrili dva malvera koji Hidden Cobra koristi bar od 2009. godine za napade. Jedan od njih je trojanac za daljinski pristup (RAT) poznat pod imenom Joanap, a drugi SMB (Server Message Block) crv Brambul.

Joanap je "potpuno funkcionalan RAT", dvostepeni malver koji uspostavlja peer-to-peer komunikaciju i upravlja botnetima dizajniranim da omoguće druge zlonamerne operacije. Malver obično inficira sistem tako što ga korisnici nesvesno preuzimaju bilo kada posećuju web sajtove koje je kompromitovala Hidden Cobra ili kada otvore atačmente u emailovima koje šalje grupa. Joanap dobija komande sa komandno-kontrolnog servera koji kontroliše Hidden Cobra, omogućavajući im da ukradu podatke, instaliraju i pokrenu druge malvere i pokrenu proksi komunikaciju na kompromitovanom Windows uređaju. Druge funkcionalnosti Joanapa uključuju upravljanje fajlovima, upravljanje procesima, kreiranje i brisanje foldera i upravljanje botnetom. Tokom analize infrastrukture Joanapa, američka vlada je pronašla malver na 87 mreža u 17 zemalja, uključujući Brazil, Kinu, Španiju, Tajvan, Švedsku, Indiju i Iran.

Drugi malver na koji upozoravaju američke vlasti je Brambul, crv razoran kao WannaCry ransomware, koji zloupotrebljava SMB protokol kako bi se proširio na druge sisteme. Zlonamerni Windows 32-bitni SMB crv funkcioniše kao DLL fajl ili izvršni fajl koji često dospeva u mrežu žrtve pomoću dropper malvera. Kada Brambul dobije neovlašćeni pristup inficiranom sistemu, on prikuplja informacije o sistemu komunicirajući sa hakerima Hidden Cobra preko emaila. Informacije uključuju IP adresu i ime računara, kao i korisničko ime i lozinku. Hakeri mogu koristiti ove ukradene informacije za daljinski pristup kompromitovanom sistemu putem SMB protokola.

DHS je preporučio korisnicima i administratorima da koriste preventivne mere za zaštitu računarskih mreža, kao što redovno ažuriranje softvera i sistema, ažuriranje antivirusnog softvera, isključivanje SMB-a i zabrana nepoznatih izvršnih programa i aplikacija.

Prošle godine, DHS i FBI objavili su upozorenje o malveru grupe Hidden Cobra, koji se zove Delta Charlie. Radi se o DDoS alatu, za koji se veruje da ga Severna Koreja koristi za DDoS napade protiv svojih ciljeva. Drugi malveri koji su povezivani sa Hidden Cobra u prošlosti uključuju Destover, Wild Positron ili Duuzer, Hangman i niz drugih malvera.