Vroeër het ons geblog oor hoe JAVA-gebaseerde jRAT -wanware in onlangse tye ontwikkel het. By Quick Heal Security Labs neem ons aktief waar hoe jRAT-veldtogte in die natuur plaasvind. Hierdie JAVA-wanware versprei deur middel van phishing-veldtogte. Terwyl ons een so 'n phishing-veldtog ontleed het, het ons gevind dat 'n internasionale ambassade in Indië deur phishers geteiken is. Die wanware wat in die phishing-veldtog gebruik is, was die berugte JAVA-wanware genaamd jRAT. Phishers het phishing-e-posse na die amptelike e-posadres van die geteikende ambassade gestuur.
Só lyk die phishing-e-pos.
Soos in die figuur hierbo getoon, word 'n vals verskepingskennisgewing deur DHL na die geteikende e-posadres gestuur. Dit is 'n voorbeeld van 'n klassieke phishing-e-posbedrogspul. Die algehele inhoud van die e-pos lyk netjies en aantreklik genoeg om die gebruiker te mislei om die aanhangsel oop te maak om meer oor hierdie verskepingskennisgewing te wete te kom. Die e-posaanhangsel " ORIGINAL SHIPPING DOCUMENT.zip " is 'n ZIP-argieflêer wat 'n " ORIGINAL SHIPPING DOCUMENT.jar "-lêer bevat. Dit is ongewoon dat 'n verskepingskennisgewing 'n " .jar "-lêer as 'n aanhangsel het. Sodra die gebruiker dubbel op hierdie jar-lêer klik, word die wanware uitgevoer. Deesdae benodig baie toepassings JAVA/JRE vir hul uitvoering. Die kanse dat 'n JAVA/JRE op die eindgebruikerstelsels geïnstalleer word, is dus uiters hoog. Dit verhoog elke moontlikheid van die uitvoering van die Java-gebaseerde wanware op die geteikende stelsel.
Seqrite opsporing
Hierdie spesifieke phishing-poging wat op die geteikende ambassade uitgevoer is, is suksesvol geblokkeer deur Seqrite produkte met sy JAVA-opsporing “JAR.Suspicious.A”.
Infeksie ketting
'n Tipiese infeksieketting wat in hierdie JRAT-phishing-veldtog gevind word, is soos volg.
Tegniese besonderhede
Soos uitgebeeld in fig. 2, laat die 'Parent JAR'-wanware twee VB-skriplêers en jRAT-wanware by die '%Temp%'-ligging val, wat daarin ingebed is. Hierdie VB-skripte is verantwoordelik vir die identifisering van verskillende antivirusprodukte sowel as firewallprodukte wat op 'n stelsel geïnstalleer is. Dit kyk ook na die 'Win2_PnpSignedDriver'-pyp wat nodig is om 'n virtuele omgewing te identifiseer. En as hierdie pyp oop gevind word, sal die wanware sy aktiwiteit stop.
Hieronder is die beelde van VBS-lêers.
Die laat valde JRAT-lêer is gekoppel aan a CNC-domeinvvrhhhnaijyj6s2m.onion[.]top". Hierdie CNC-domein word gehuisves op 46.246.120.179. Die reputasie van hierdie domein en die IP is kwaadwillig volgens aanlyn skandeerders. Die kommunikasie vind plaas via an SSL-kanaal.
Ten tyde van ons analise het die CNC-bediener nie met die finale vrag gereageer nie. Oor die algemeen het ons waargeneem dat infostelaer-wanware in voortgesette jRAT-veldtogte afgelewer word.
Alhoewel phishing 'n ou tegniek is om wanware te versprei, is dit steeds een van die eenvoudige en mees effektiewe tegnieke wat deur phishers gebruik word. Deur hierdie eenvoudige tegniek van wanware-verspreiding te gebruik, jaag phishers hoëprofiel-teikens soos in hierdie geval die interne ambassade. Ons raai ons gebruikers aan om beskerm te bly deur hul Endpoint Security-oplossing (EPS) op datum te hou met die nuutste sekuriteitsopdaterings.
Sekuriteitsmaatreëls
Hier is 'n infografika wat phishing verduidelik. En hieronder is 'n paar nuttige wenke om weg te bly van phishing-aanvalle.
- Moenie e-posse oopmaak wat van onbekende, ongewenste of onverwagte bronne afkomstig is nie.
- Moenie op skakels klik of aanhangsels in sulke e-posse aflaai nie.
- Moenie e-posaanhangsels met uitbreidings soos .js, .jar, .exe. en .pdf oopmaak nie.
- Deaktiveer VBA-makro in die Microsoft Office-toepassing.
- Pas alle aanbevole opdaterings toe op jou bedryfstelsel, programme soos Adobe, Java, internetblaaiers, ens.
- Maak seker dat u Eindpuntsekuriteitsoplossing (EPS) sagteware is op datum.
- Neem gereelde rugsteunkopieë van jou lêers.
Aanwysers van kompromie
DHL Versendingskennisgewing: 85482550044
OORSPRONKLIKE VERSENDINGSDOKUMENT.zip
OORSPRONKLIKE VERSENDINGSDOKUMENT.jar
F2727B26A75F9DF01E464B9144117AE1
B01F4758F4FD791B851D64FC16B56D08
vvrhhhnaijyj6s2m.onion[.]top
46.246.120.179
Vakassesseringseksperts
Pradeep Kulkarni, Prashant Kadam | Quick Heal Sekuriteitslaboratoriums
