AceCryptor Malware-gebruik stijgt in Europa

Duizenden nieuwe infecties die verband houden met de AceCryptor-tool – waarmee hackers malware kunnen verbergen en systemen kunnen infiltreren onopgemerkt door antivirussoftware – zijn ontdekt in een gezamenlijke inspanning die zich richt op organisaties in heel Europa.

Onderzoekers hebben jaren besteed aan het monitoren van AceCryptor. Ze onthulden woensdag dat de recente campagne verschilde van eerdere campagnes, omdat aanvallers de reeks kwaadaardige code die erin was ingekapseld, verbreedden.

Traditioneel begeleidt AceCryptor malware zoals Remcos of Rescoms – krachtige tools voor toezicht op afstand die vaak worden gebruikt tegen organisaties in Oekraïne. Naast Remcos en een andere bekende tool, SmokeLoader, hebben onderzoekers gevallen opgemerkt waarin AceCryptor malware verspreidde, zoals de STOP-ransomware en de Vidar-stealer.

Onderzoekers hebben duidelijke verschillen waargenomen in de beoogde landen. Terwijl SmokeLoader een rol speelde bij aanvallen in Oekraïne, was Remcos betrokken bij incidenten in Polen, Slowakije, Bulgarije en Servië.

Bij deze operaties werd AceCryptor gebruikt om meerdere Europese landen te targeten, informatie te extraheren of initiële toegang te verkrijgen tot talrijke bedrijven. Schadelijke software werd verspreid via spam-e-mails, waarvan sommige zeer overtuigend waren en soms afkomstig waren van legitieme maar uitgebuite e-mailaccounts.

AceCryptor-aanvallen gaan achter browserreferenties aan

De recente operatie heeft tot doel e-mail- en browsergegevens te verkrijgen voor daaropvolgende aanvallen op de beoogde entiteiten. Het merendeel van de malwaremonsters fungeerde als initiële compromisvector.

In de eerste helft van 2023 waren Peru, Mexico, Egypte en Turkije de landen die het zwaarst getroffen werden door de met AceCryptor gevulde malware, waarbij Peru met 4.700 het hoogste aantal aanvallen te verduren kreeg.

In de tweede helft van 2023 verschoof de focus naar Europese landen, waarbij Polen het doelwit was van meer dan 26.000 aanvallen. Oekraïne, Spanje en Servië hebben ook duizenden aanvallen meegemaakt.

Tijdens de tweede helft van het jaar kwam Rescoms naar voren als de belangrijkste malwarefamilie van AceCryptor, goed voor meer dan 32.000 gevallen. Polen registreerde meer dan de helft van deze pogingen, gevolgd door Servië, Spanje, Bulgarije en Slowakije, rapporteerden de onderzoekers.

In totaal werden in deze periode ruim 26.000 van deze aanvallen in Polen geregistreerd.

Aanvallen op Poolse ondernemingen hadden vergelijkbare onderwerpen die verband hielden met B2B-aanbiedingen voor een slachtofferbedrijf. Hackers probeerden de e-mails legitimiteit te verlenen door echte Poolse bedrijfsnamen en bestaande werknemersnamen te gebruiken.

Onderzoekers constateerden onzekerheid over de vraag of de hackers de gestolen inloggegevens voor hun gebruik willen behouden of deze aan andere bedreigingsactoren willen verkopen.

Hoewel onderzoekers de bron van de aanvalscampagnes niet konden achterhalen, worden Remcos en SmokeLoader herhaaldelijk in verband gebracht met hackers die namens de Russische overheid opereren.