Μια ομάδα κατασκοπείας που παρακολουθείται ως “Redfly hackers” παραβίασε έναν εθνικό οργανισμό ηλεκτρικού δικτύου στην Ασία και διατήρησε πρόσβαση στο παραβιασμένο δίκτυο για έξι μήνες.
Αυτά τα νέα ευρήματα παρουσιάστηκαν από την Symantec. Κατά τη διάρκεια της περιόδου από τις 28 Φεβρουαρίου έως τις 3 Αυγούστου 2023, εντοπίστηκε δραστηριότητα του κακόβουλου λογισμικού ShadowPad στο δίκτυο του οργανισμού. Επιπλέον, ανιχνεύθηκε η παρουσία keylogger και εξειδικευμένων file launchers.
Παρά το γεγονός ότι το ShadowPad είναι ένα ευρέως διαδεδομένο trojan που χρησιμοποιείται από πολλές ομάδες APT, η Symantec παρακολουθεί προσεκτικά τις πρόσφατες επιθέσεις, αναφέροντας ότι η Redfly φαίνεται να επικεντρώνεται αποκλειστικά σε κρίσιμες εθνικές υποδομές.
Δείτε επίσης: Cuba Ransomware ομάδα: Διασπείρει μη ανιχνεύσιμο malware
Ghost: Εξάρθρωση της πλατφόρμας κρυπτογραφημένων επικοινωνιών
Redfly hackers: Malware Toolset
Η παραλλαγή του ShadowPad malware που εμφανίζεται σε αυτές τις επιθέσεις, μεταμφιέζει τα components της (exe και dll) ως αρχεία VMware και τα εισάγει στο filesystem του θύματος.
Το πρόγραμμα επιτυγχάνει, επίσης, persistence δημιουργώντας ξανά υπηρεσίες με το όνομα VMware, ρυθμισμένες να εκτελούν το κακόβουλο εκτελέσιμο αρχείο και το DLL κατά την εκκίνηση του συστήματος.
Σε γενικές γραμμές, το ShadowPad malware είναι ένα ευέλικτο modular RAT που υποστηρίζει την εξαγωγή δεδομένων στο C2, τo keylogging, την αναζήτηση αρχείων και την απομακρυσμένη εκτέλεση εντολών.
Πολλές APT ομάδες χρησιμοποιούν το συγκεκριμένο malware επειδή δεν σχετίζεται με έναν μόνο επιτιθέμενο και άρα είναι δύσκολο για τους ερευνητές να συνδέσουν τις επιθέσεις με συγκεκριμένη ομάδα.
Δείτε επίσης: Messenger: Phishing μηνύματα στοχεύουν Facebook business accounts
Στις επιθέσεις που παρατηρήθηκαν, οι Redfly hackers χρησιμοποίησαν ένα ξεχωριστό εργαλείο keylogging που κατέγραψε πληκτρολογήσεις σε αρχεία καταγραφής στο σύστημα που είχε παραβιαστεί.
Ένα άλλο εργαλείο που χρησιμοποιούν οι hackers είναι το Packerloader. Αυτό το εργαλείο χρησιμοποιείται για να φορτώσει και να εκτελέσει shellcode σε κρυπτογραφημένα αρχεία AES που μπορούν να αποφύγουν την ανίχνευση.
Ακόμα, η ομάδα Redfly χρησιμοποιεί PowerShell για να εκτελέσει εντολές που βοηθούν στη συγκέντρωση λεπτομερειών σχετικά με συγκεκριμένες συσκευές αποθήκευσης στο παραβιασμένο σύστημα.
Για lateral movement, οι hackers χρησιμοποιούν DLL side-loading και νόμιμα εκτελέσιμα, scheduled tasks που εκτελούν νόμιμα binaries και κλεμμένα credentials.
Τέλος, η Redfly χρησιμοποίησε μετονομασμένες εκδόσεις γνωστών εργαλείων, όπως το ProcDump.
Η μακρά διάρκεια παραμονής που παρατηρήθηκε σε αυτήν την επίθεση στον ασιατικό οργανισμό ηλεκτρικού δικτύου είναι χαρακτηριστική των κατασκοπευτικών ομάδων. Οι hackers προσπαθούν να μείνουν για καιρό μέσα στα δίκτυα για να συλλέξουν όσο το δυνατόν περισσότερες πληροφορίες.
Δείτε επίσης: Sponsor malware: Ιρανοί χάκερς χρησιμοποιούν backdoor σε 34 οργανισμούς
Ενώ η πρόθεση των εισβολέων παραμένει αβέβαιη, ο πιθανός κίνδυνος αποτελεί σημαντική απειλή. Μια τέτοια διαταραχή μπορεί να οδηγήσει σε εκτεταμένες ζημιές για τους πελάτες του παρόχου ενέργειας και να έχει βαθιές οικονομικές επιπτώσεις για ολόκληρη τη χώρα.
Η εισβολή στον πάροχο ηλεκτρικής ενέργειας από την ομάδα Redfly είναι ανησυχητική, αλλά δεν είναι η πρώτη φορά που βλέπουμε τέτοιου είδους επιθέσεις. Τα σημάδια και οι μέθοδοι που χρησιμοποιούνται από την ομάδα αποτελούν μια απόδειξη του γεγονότος ότι οι παρόχοι ενέργειας αποτελούν πλέον πρωταρχικούς στόχους για τις κυβερνοεπιθέσεις. Είναι πλέον καίριας σημασίας για τους παρόχους να ενισχύσουν τις προσπάθειες ασφάλειας τους, να ενημερώνονται συνεχώς για τις τελευταίες απειλές και να λαμβάνουν άμεσα μέτρα για την αντιμετώπιση μιας κυβερνοαπειλής.
Πηγή: www.bleepingcomputer.com
![Pinterest](https://pinterest.com/pin/create/button/?url=https://www.secnews.gr/481680/redfly-hackers-briskontan-diktio-paroxou-energeias-gia-eksi-mines/&media=https://cdnglobal.secnews.gr/wp-content/uploads/2023/09/17034757/redfly-hackers-min.jpg&description=Μια ομάδα κατασκοπείας που παρακολουθείται ως "Redfly" παραβίασε έναν εθνικό οργανισμό ηλεκτρικού δικτύου στην Ασία και διατήρησε){kind=link}