彼らは Telegram チャネルを使用して、「フィンテック」従業員の間でデータを盗むように設計された「スパイウェア」を配布します。

マドリッド、20ディック。 (ポータル/EP) –

研究者らは、20 か国以上に影響を及ぼしている世界規模の悪意のあるキャンペーンを発見しました。 彼らは Telegram 通信プラットフォームのチャネルを使用しました 機密データを盗むことを目的とした「スパイウェア」を金融・テクノロジー (「fintechf」) および商取引業界の専門家に配布すること。

カスペルスキー グローバル調査分析チーム (GReAT) は、この攻撃の原因は次のとおりであると発表しました。 デスストーカーAdvanced Persistent Threat (APT) アクターの一種。 雇われハッカー、 専門的なハッキングおよび金融インテリジェンス サービスを提供します。

Deathstalker は、以前は Deceptikons として知られており、少なくとも 2018 年から、おそらく 2012 年から活動している脅威アクターのグループです。雇われたサイバー傭兵またはハッカーのグループであると考えられており、脅威アクターには有能なメンバーがいると思われます。内部ツールを開発し、高度な持続的脅威エコシステムを理解している人。

サイバーセキュリティの専門家は、「マルウェア」がこれらのトピックに焦点を当てたテレグラムチャネルを通じて配布されたことを示す指標として、このグループが商業およびフィンテック分野の被害者をターゲットにしたキャンペーンを配布したと警告した。

具体的には、ヨーロッパ、アジア、ラテンアメリカ、中東の 20 か国以上で被害者を特定しており、サイバー犯罪者はこれらの国々に対して、実際には次のような悪意のあるファイルを添付する攻撃を指示しました。 これらには、-LNK、.com、.cmd などの拡張子を持つ有害なファイルが含まれていました。

実行されると、サイバー犯罪者が制御するサーバーから情報を盗み、リモート コマンドを実行するように設計されたリモート アクセス トロイの木馬 (RAT) である悪意のある「ソフトウェア」 DarkMe がインストールされます。

カスペルスキーは、攻撃者が従来の「フィッシング」手法を使用する代わりに、この「スパイウェア」を配布するために Telegram チャネルに頼ったと指摘しましたが、以前のキャンペーンでは、感染経路として Skype などの他のメッセージング プラットフォームの使用も観察されていました。初期感染の様子。

「この方法では、フィッシング Web サイトと比較して、潜在的な被害者が送信者をより信頼し、悪意のあるファイルを開いてしまう可能性があります」と GReAT の上級セキュリティ研究者 Maher Yamout 氏は述べています。

Telegram を使用してマルウェアを配布することに加えて、攻撃者は運用上のセキュリティとその後のクリーンアップを向上させました。そうすれば、インストール後に「マルウェア」が 使用したファイルを削除しました DarkMe を展開します。

さらに、分析をさらに困難にして検出を回避するために、キャンペーンの実行者はファイル サイズを増大させ、エクスプロイト後のファイル、ツール、レジストリ キーなどの他の痕跡を削除しました。

カスペルスキーは、企業はセキュリティソリューションをインストールする必要があると強調しています。 このような状況でも保護を維持する新しいサイバー攻撃手法を知り、それを認識して回避することもできます。また、企業が従業員向けに追加のサイバーセキュリティ コースに投資することも推奨されます。