Ο ασφαλιστικός τομέας της Κολομβίας αποτελεί στόχο μιας κακόβουλης συμμορίας με την ονομασία Blind Eagle.
Αυτή η απειλή φιλοδοξεί να παραδώσει μια προσαρμοσμένη έκδοση ενός γνωστού trojan απομακρυσμένης πρόσβασης, το Quasar RAT, από τον Ιούνιο του 2024.
«Οι επιθέσεις προέρχονται από phishing μηνύματα που προσποιούνται την κολομβιανή φορολογική αρχή», δήλωσε ο Gaetano Pellegrino, ερευνητής της Zscaler ThreatLabz, σε πρόσφατη ανάλυση που δημοσιεύθηκε την περασμένη εβδομάδα.
Δείτε επίσης: Επιθέσεις phishing σε gov.gr και Ελληνικές Τράπεζες
Η προηγμένη απειλή (APT), γνωστή και ως AguilaCiega, APT-C-36 και APT-Q-98, έχει αποδεδειγμένο ιστορικό στοχοποίησης οργανισμών και ατόμων στη Νότια Αμερική, με ιδιαίτερη έμφαση στους κυβερνητικούς και χρηματοοικονομικούς τομείς στην Κολομβία και το Εκουαδόρ.
Οι αλυσίδες επιθέσεων, όπως πρόσφατα τεκμηρίωσε η Kaspersky, προκύπτουν από μηνύματα phishing που προτρέπουν τους παραλήπτες να κάνουν κλικ σε κακόβουλους συνδέσμους. Αυτοί οι σύνδεσμοι λειτουργούν ως το σημείο εκκίνησης για τη διαδικασία μόλυνσης.
Οι σύνδεσμοι, είτε περιλαμβάνονται σε συνημμένο PDF είτε αναφέρονται απευθείας στο σώμα του ηλεκτρονικού ταχυδρομείου, οδηγούν σε αρχεία ZIP που φιλοξενούνται σε φάκελο του Google Drive συνδεδεμένο με έναν παραβιασμένο λογαριασμό περιφερειακού κυβερνητικού οργανισμού στην Κολομβία.
«Η χάκινγκ συμμορία Blind Eagle χρησιμοποιούσε ως δέλεαρ την αποστολή ειδοποίησης στο θύμα, ισχυριζόμενη ότι επρόκειτο για εντολή κατάσχεσης λόγω εκκρεμών φορολογικών πληρωμών», παρατήρησε ο Pellegrino. «Αυτό είχε σκοπό να δημιουργήσει μια αίσθηση επείγοντος και να ωθήσει το θύμα να αναλάβει άμεσα δράση».
Διαβάστε περισσότερα:
Το κακόβουλο αρχείο περιέχει μια παραλλαγή του Quasar RAT που ονομάζεται BlotchyQuasar, η οποία είναι συσκευασμένη σε πολλαπλά επίπεδα συσκότισης, χρησιμοποιώντας εργαλεία όπως το DeepSea και το ConfuserEx, ώστε να αποτρέψει την ανάλυση και τις προσπάθειες αντίστροφης μηχανικής. Αυτή η παραλλαγή είχε αναλυθεί προηγουμένως από την IBM X-Force τον Ιούλιο του 2023.
Το κακόβουλο λογισμικό διαθέτει λειτουργίες όπως η καταγραφή πληκτρολόγησης, η εκτέλεση shell εντολών, η κλοπή δεδομένων από προγράμματα περιήγησης ιστού και πελάτες FTP, καθώς και η παρακολούθηση των αλληλεπιδράσεων του θύματος με συγκεκριμένες τραπεζικές υπηρεσίες και υπηρεσίες πληρωμών στην Κολομβία και τον Ισημερινό.
Αξιοποιεί επίσης το Pastebin ως εργαλείο για την επίλυση dead-drop, διευκολύνοντας την ανάκτηση του τομέα εντολών και ελέγχου (C2). Ο παράγοντας απειλής χρησιμοποιεί υπηρεσίες Dynamic DNS (DDNS) για την φιλοξενία του C2 domain.
Δείτε ακόμη: Οι hackers Blind Eagle στοχεύουν τη Λατινική Αμερική με RAT malware
“Το Blind Eagle συνήθως προστατεύει την υποδομή του χρησιμοποιώντας έναν συνδυασμό VPN κόμβων και παραβιασμένων routers, κυρίως στην Κολομβία,” δήλωσε ο Pellegrino. “Αυτή η επίθεση αναδεικνύει τη διαρκή εφαρμογή αυτής της στρατηγικής”.
Πηγή: thehackernews
