Один из филиалов RansomHub начал использовать в новых атаках новый пользовательский бэкдор, известный как Betruger.
Описание
Эта вредоносная программа представляет собой многофункциональный бэкдор, который, вероятно, был специально создан для проведения атак с использованием вымогательского ПО. Использование пользовательских вредоносных программ в атаках на ransomware является редким явлением, так как большинство атакующих обычно полагаются на легальные инструменты и общедоступные вредоносные программы. Бэкдор Betruger содержит функциональность, такую как создание скриншотов, перехват клавиатуры, загрузка файлов на командно-контрольный сервер (C&C), сканирование сети, повышение привилегий и сброс учетных данных. Он был обнаружен в атаках, использующих имена файлов mailer.exe и turbomailer.exe, возможно, чтобы замаскироваться под легитимное приложение. Betruger, вероятно, был разработан для минимизации количества новых инструментов, используемых при атаке с целью вымогательства.
В последнее время филиалы RansomHub также использовали другие инструменты, включая Impacket, Stowaway Proxy Tool, Rclone, ScreenConnect, Mimikatz, SystemBC, NetScan, Atera, Splashtop и TightVNC. RansomHub, управляемый киберпреступной группой Greenbottle, стал одной из самых активных операций с вымогательским ПО. Они привлекли множество аффилированных лиц, предоставив им лучшие условия, такие как высокий процент от выкупа и удобную модель оплаты.
Атакующие также использовали несколько уязвимостей, включая эксплойт Windows Privilege Escalation (CVE-2022-24521) и эксплойт Veeam, позволяющий получить учетные данные для резервного копирования (CVE-2023-27532).
Индикаторы компрометации
