Финансово мотивированная хакерская группа Greedy Sponge, активная с 2021 года, продолжает атаковать мексиканские организации, используя модифицированную версию вредоносного ПО AllaKore RAT и инструмент SystemBC для кражи банковских данных. Об этом сообщают специалисты Arctic Wolf Labs, которые ведут мониторинг деятельности группировки.
Описание
Greedy Sponge специализируется на целевых атаках против средних и крупных компаний в Мексике, независимо от отрасли. Их основная цель - финансовое мошенничество, включая кражу учетных данных и обход систем аутентификации. В последнее время злоумышленники значительно усовершенствовали свои методы атак, добавив новые функции в AllaKore RAT и внедрив вторичное заражение через SystemBC - инструмент для загрузки дополнительного вредоносного кода.
Изменения в тактике атак
Ранее Greedy Sponge использовала геофильтрацию на стороне загрузчика, проверяя IP-адреса жертв на принадлежность к Мексике. Теперь же этот механизм перенесен на серверную часть, что затрудняет обнаружение атаки системами безопасности. Также обновлен процесс доставки вредоносного ПО: вместо файлов, связанных с мексиканскими госучреждениями, злоумышленники стали использовать более нейтральные названия, такие как "InstalarActualiza_Policy.msi" ("Установить обновление политики").
Технические детали кампании
Атака начинается с рассылки фишинговых писем или drive-by загрузки ZIP-архива, содержащего легитимный файл chrome_proxy.exe и вредоносный MSI-установщик. После запуска MSI загружает .NET-загрузчик Gadget.exe, который, в свою очередь, скачивает и запускает модифицированный AllaKore RAT.
AllaKore RAT - это открытый инструмент для удаленного доступа, способный записывать нажатия клавиш, делать скриншоты, загружать и выгружать файлы, а также управлять устройством жертвы. В последней версии злоумышленники добавили функции для кражи банковских данных и токенов аутентификации, что значительно повышает их возможности в финансовом мошенничестве.
Кроме того, в некоторых случаях AllaKore RAT загружает SystemBC - инструмент для создания прокси-туннелей, который позволяет злоумышленникам скрытно загружать дополнительные вредоносные модули. SystemBC также использует обход UAC (User Account Control) через уязвимость в CMSTP.exe, что усложняет обнаружение атаки.
Инфраструктура и целевые организации
Серверы C2 (Command and Control) группы размещены у хостинг-провайдера Hostwinds в Далласе (Техас), а фишинговые домены зарегистрированы через NICENIC INTERNATIONAL GROUP CO., LIMITED. Среди целевых отраслей - розничная торговля, сельское хозяйство, государственный сектор, банковская сфера и криптовалютные платформы.
Эксперты Arctic Wolf Labs отмечают, что Greedy Sponge демонстрирует устойчивую стратегию: несмотря на относительно низкий уровень технической изощренности, группа остается успешной благодаря узкой специализации и глубокому знанию мексиканского рынка.
По прогнозам экспертов, Greedy Sponge продолжит атаки на мексиканские компании, совершенствуя свои инструменты и тактики. Остановить их активность может только скоординированное вмешательство правоохранительных органов.
Индикаторы компрометации
