AceCryptor Malware-bruk øker i Europa
Tusenvis av nye infeksjoner knyttet til AceCryptor-verktøyet – som gjør det mulig for hackere å skjule skadelig programvare og infiltrere systemer uoppdaget av antivirusprogramvare – har blitt avdekket i en felles innsats rettet mot organisasjoner over hele Europa.
Forskere har viet år til å overvåke AceCryptor. De avslørte onsdag at den nylige kampanjen skilte seg fra de tidligere da angripere utvidet utvalget av ondsinnet kode innkapslet i.
Tradisjonelt følger AceCryptor skadelig programvare som Remcos eller Rescoms – kraftige fjernovervåkingsverktøy som ofte brukes mot organisasjoner i Ukraina. Ved siden av Remcos og et annet kjent verktøy, SmokeLoader, bemerket forskere tilfeller der AceCryptor distribuerte skadelig programvare som STOP-ransomware og Vidar-tyver.
Forskere observerte tydelige variasjoner i landene de ble målrettet mot. Mens SmokeLoader var med i angrep i Ukraina, involverte hendelser i Polen, Slovakia, Bulgaria og Serbia Remcos.
I disse operasjonene ble AceCryptor brukt til å målrette mot flere europeiske land, trekke ut informasjon eller skaffe førstegangstilgang til en rekke selskaper. Skadelig programvare ble spredt gjennom spam-e-poster, hvorav noen var svært overbevisende, og noen ganger stammet fra legitime, men utnyttede e-postkontoer.
AceCryptor-angrep går etter nettleserlegitimasjon
Den nylige operasjonen tar sikte på å skaffe e-post og nettleserlegitimasjon for påfølgende overgrep mot de målrettede enhetene. Flertallet av malware-eksempler fungerte som en innledende kompromissvektor.
I første halvdel av 2023 var landene som ble mest påvirket av AceCryptor-pakket skadelig programvare Peru, Mexico, Egypt og Tyrkia, med Peru som tålte det høyeste antallet angrep med 4700.
I siste halvdel av 2023 flyttet fokuset til europeiske nasjoner, med Polen som mål for over 26 000 angrep. Ukraina, Spania og Serbia opplevde også tusenvis av angrep.
I løpet av siste halvdel av året dukket Rescoms opp som den dominerende skadevarefamilien pakket av AceCryptor, og sto for over 32 000 tilfeller. Polen registrerte over halvparten av disse forsøkene, etterfulgt av Serbia, Spania, Bulgaria og Slovakia, rapporterte forskerne.
Totalt ble over 26 000 av disse angrepene i Polen registrert i denne perioden.
Angrep på polske virksomheter inneholdt lignende emnelinjer knyttet til B2B-tilbud for et offerselskap. Hackere forsøkte å gi legitimitet til e-postene ved å bruke ekte polske firmanavn og eksisterende ansattes navn.
Forskere bemerket usikkerhet angående hvorvidt hackerne har som mål å beholde stjålet legitimasjon for deres bruk eller selge dem til andre trusselaktører.
Mens forskere ikke kunne finne kilden til angrepskampanjene, har Remcos og SmokeLoader gjentatte ganger blitt assosiert med hackere som opererer på vegne av den russiske regjeringen.
