يستخدم المتسللون ModernLoader لإصابة الأنظمة بالمخترقين و Cryptominers

 تم اكتشاف ما يصل إلى عدد قليل من الحملات المتباينة والمرتبطة التي تتضمن مارس ويونيو 2022 لإنتاج مجموعة متنوعة من البرامج الضارة ، بما في ذلك ModernLoader و RedLine Stealer وعمال تعدين العملات المشفرة على الأنظمة المخترقة.

"يستخدم الممثلون مستندات PowerShell و .NET و HTA و VBS للانتشار عبر شبكة مركزة ، ويقومون عاجلاً أم آجلاً بإسقاط أجزاء أخرى من البرامج الضارة ، مثل SystemBC trojan و DCRat ، لتمكين مراحل مختلفة من عملياتهم ،" أوضح الباحث في شركة Cisco Talos Vanja Svajcer في تقرير تمت مشاركته مع The Hacker Information.

تم تصميم الغرسة المدمرة المعنية ، ModernLoader ، لتزويد المهاجمين بالتنظيم عن بُعد على جهاز الضحية ، مما يسمح للخصوم بنشر المزيد من البرامج الضارة ، أو سرقة المعلومات الدقيقة ، أو حتى إغراق الكمبيوتر المحمول في شبكة الروبوتات.

عزت شركة Cisco Talos العدوى البكتيرية إلى جهة خطر غير موثقة سابقًا ولكنها تتحدث الروسية ، مستشهدة باستخدام أدوات جاهزة. تضمنت الأهداف المحتملة مستخدمين يابانيين أوروبيين في بلغاريا وبولندا والمجر وروسيا.

تستلزم سلاسل الإصابة التي اكتشفتها منظمة الأمن السيبراني محاولات للتغلب على أغراض الويب المعرضة للخطر مثل WordPress و CPanel لتوزيع البرامج الضارة من خلال الإشارة إلى المستندات التي تتنكر على أنها أوراق لعب مكافآت أمازون مزيفة.

حمولة المرحلة الأولى هي ملف HTML Software (HTA) يقوم بتشغيل برنامج نصي PowerShell مستضاف على خادم الأوامر والإدارة (C2) لبدء نشر الحمولات المؤقتة التي تقوم أخيرًا بحقن البرامج الضارة باستخدام طريقة تم تحديدها على أنها نهج تجويف .

يوصف ModernLoader (المعروف أيضًا باسم Avatar bot) بأنه أحد طروادة .NET للوصول عن بُعد ، وهو مزود بخيارات لجمع بيانات البرنامج أو تنفيذ أوامر عشوائية أو الحصول على ملف وتشغيله من خادم C2 ، مما يسمح للخصم بتغيير الوحدات بشكل جدي- زمن.

كشف تحقيق Cisco أيضًا عن حملتين سابقتين في مارس 2022 مع طريقة عمل مشابهة جدًا تستفيد من ModerLoader باعتبارها الاتصالات الأساسية للبرامج الضارة C2 وتوفر برامج ضارة إضافية ، مثل XMRig و RedLine Stealer و SystemBC و DCRat وسرقة رموز Discord وغيرها.

هذه الحملات تصور ممثلاً يجرب تقنيات مختلفة ، "ذكر سفايسر. يوضح استخدام المعدات الجاهزة تمامًا أن الممثل يفهم أهمية TTPs من أجل حملة برمجيات ضارة ناجحة ، لكن قدراتهم المتخصصة لم يتم إنشاؤها بما يكفي لتطوير معداتهم الفردية بشكل كامل.