Segurança da Informação

Hackers do Asylum misturam cibercrime com espionagem

CISO Advisor Segurança da Informação

O grupo de hackers normalmente lança seus ataques com e-mails de spear phishing enviados aos alvos, carregando anexos de documentos maliciosos que executam código VBS malicioso.

Um grupo de hackers identificado como Asylum Ambuscade foi observado em ataques recentes direcionados a pequenas e médias empresas em todo o mundo, combinando espionagem cibernética com crime cibernético. O grupo, que se acredita estar operacional desde ao menos 2020, foi identificado pela primeira vez pela Proofpoint em um relatório de março do ano passado, que se concentrou em uma campanha de phishing contra entidades que auxiliam o movimento de refugiados ucranianos.

A ESET publicou um novo relatório sobre o grupo, revelando mais detalhes sobre as operações do Asylum Ambuscade no ano passado e destacando atualizações em sua “vitimologia” e conjunto de ferramentas.

O Asylum Ambuscade normalmente lança seus ataques com e-mails de spear phishing enviados aos alvos, carregando anexos de documentos maliciosos que executam código VBS malicioso e, após junho de 2022, um exploit para o CVE-2022-30190 (Follina). A exploração inicia o download de um instalador do Windows (MSI) que implanta o malware Sunseed do grupo, um downloader baseado na linguagem de programação Lua que também gera um arquivo LNK na pasta de inicialização do Windows para persistência.

O Asylum Ambuscade mantém um escopo de segmentação amplo neste ano, visando clientes bancários, comerciantes de criptomoedas, entidades governamentais e várias pequenas e médias empresas na América do Norte, Europa e Ásia Central.

A ESET explica que a atual cadeia de infecção continua seguindo a mesma estrutura das operações de 2022. No entanto, os analistas de segurança da empresa agora notaram novos vetores de comprometimento, incluindo anúncios maliciosos do Google que redirecionam os usuários para sites que executam código JavaScript malicioso. Além disso, o operador da ameaça começou a implantar uma nova ferramenta chamada “Nodebot” em março, que parece ser a porta Node.js do Ahkbot.

A função do malware continua a incluir captura de tela, exfiltração de senha do Internet Explorer, Firefox e navegadores baseados no Chromium e busca de plug-ins AutoHotkey adicionais no dispositivo violado. Os plug-ins obtidos pelo malware têm funcionalidades específicas, como baixar um carregador Cobalt Strike compactado com VMProtect, instalar o Chrome para acomodar operações hVNC, iniciar um keylogger, implantar um infostealer Rhadamanthys, iniciar um RAT disponível comercialmente e muito mais.

A ESET contabilizou 4.500 vítimas desde que começou a rastrear o Asylum Ambuscade em janeiro de 2022, o que equivale a cerca de 265 vítimas/mês, o que o torna um operador de ameaças muito prolífico e uma ameaça grave para organizações em todo o mundo. O grupo pode estar vendendo acesso à rede dessas empresas para afiliados de ransomware com fins lucrativos. No entanto, a ESET não encontrou evidências que apoiem essa hipótese.

Vazamento de dados de vítimas de ransomware sobe 27% em abril

CISO Advisor Segurança da Informação
De acordo com relatório da GuidePoint Security o setor de manufatura foi o mais impactado com o de vazamento de dados.

O número de vítimas de ransomware que aparecem em sites de vazamento de dados aumentou 27% em abril, para 354, com o setor de manufatura sendo o mais impactado, de acordo com estudo da GuidePoint Security, cujo relatório mensal, intitulado GRIT Ransomware, foi publicado na quinta-feira, 11.

O relatório é compilado a partir da análise de 24 sites de vazamento de ransomware, portanto, o número real de vítimas pode ser muitas vezes maior, considerando que muitas vítimas optam por pagar o resgate aos cibercriminsos e, portanto, não são exibidos nesses sites.

No entanto, nos sites analisados, um quinto (19%) das vítimas eram empresas de manufatura. Essas organizações são frequentemente escolhidas por operadores de ransomware devido à sua baixa tolerância a interrupções na produção. Enquanto o número de vítimas de ransomware de modo geral caiu 22% entre março e abril deste ano, no setor manufatureiro houve um aumento de 46%

O LockBit foi mais uma vez o ransomware mais prolífico, respondendo por 31% das vítimas em sites de vazamento em abril, seguido pelo ALPHV (14%). No geral, porém, a indústria de ransomware está cada vez mais pulverizada, com um grande número de grupos menores. 

“Observamos uma lista diversificada de grupos de ameaças ativos em abril, com 27 grupos únicos. Esse nível de diversidade, o mais alto que o GRIT observou desde novembro de 2021, reflete a ameaça contínua e a viabilidade de grupos menores de ransomware, incluindo alguns como o Splinter ou o Ephemeral, recém-estabelecidos, compostos por operadores de ransomware experientes”, explicou a Guidepoint Security.

O Splinter está na categoria dos grupos menos experientes ativos, por apenas dois a cinco meses, que muitas vezes se separaram de gangues maiores. Esses grupos são identificados por taxas variadas de postagem pública e técnicas, táticas e procedimentos (TTPs), muitas vezes emprestados de outros grupos. Grupos mais efêmeros estão ativos há menos de dois meses com taxas de vítimas variadas, mas baixas, e “não progridem para tipos de grupos mais desenvolvidos e maduros”.

O relatório também apontou táticas cada vez mais agressivas por parte de grupos de ransomware com o objetivo de forçar o pagamento das vítimas. Isso incluiu ameaças de ataques distribuídos de negação de serviço (DDoS), vazamento de bate-papos internos confidenciais e o sequestro de um sistema de alerta de universidades para direcionar funcionários e alunos a pressionar os administradores a pagar.

  1. Hackers agora usam anexos do OneNote para espalhar malware
  2. Arquivos ZIP são mais usados que o Office para distribuir malware
  3. Malware se oculta usando certificado da Microsoft
  4. Ransomware só perde em risco para lavagem de dinheiro
  5. Erro de configuração no Azure expões dados de 65 mil empresas
  6. Dados disponíveis para os cibercriminosos comprarem online
  7. Gangue do ransomware SolidBit recruta afiliados na dark web
  8. Mascaramento de dados versus criptografia de dados: como eles diferem?
  9. Padrões de criptografia pós-quântica do NIST
  10. Atacantes usam cada vez mais extensões do IIS como backdoors de servidor
  11. Defendendo a Ucrânia: primeiras lições da guerra cibernética
  12. BlackParty: nova campanha de malware tem o Brasil como alvo principal
  13. Como implementar Gestão de vulnerabilidades na empresa?
  14. REvil ransomware retorna: nova amostra de malware confirma que a gangue está de volta
  15. Bugs de driver de firmware Lenovo UEFI afetam mais de 100 modelos de notebook
  16. Hackers usam atualização falsa do Win11 para roubar carteiras de criptomoedas
  17. A colaboração é crucial para combater o cibercrime
  18. Olhando dentro da caixa de Pandora
  19. Ciberataques a dados bancários cresceram 141% no Brasil
  20. O caos (e o custo) provado pelos hackers da Lapsus$
  21. Pesquisadores rastreiam ataques cibernéticos LAPSUS$ a hacker de 16 anos da Inglaterra
  22. Insiders privilegiados são uma preocupação cada vez maior
  23. Pesquisador ucraniano vaza dados da gangue Conti Ransomware
  24. Ataques cibernéticos afeta infraestrutura de países da Europa
  25. O que são estruturas de segurança na nuvem e como elas são úteis?
  26. Brasil sofreu mais de 88,5 bilhões de tentativas de ataques cibernéticos em 2021
  27. França multa Google e Facebook em € 210 milhões
  28. Estrutura de segurança cibernética do NIST
  29. Ataques de Ransomware até setembro supera todo o ano de 2020
  30. Atualização de DNS afeta Facebook e diversos outros serviços na Internet
  31. Proteger a privacidade é um jogo perdido hoje, como mudar o jogo?
  32. Interrompendo o ransomware interrompendo o Bitcoin
  33. AWS adquire serviço de comunicações criptografadas Wickr
  34. Novo ransomware baseado em REvil
  35. Ransomware Task Force: É hora de acabar com o ransomware
  36. Fornecedora de criptografia para celular teria ajudado a ocultar tráfico de drogas
  37. CEOs serão responsabilizados pelos incidentes de segurança
  38. Cibersegurança não é mais uma ‘ameaça fantasma’ – é um problema de negócios dominante
  39. Fotos e salários também foram expostos no maior vazamento de dados do país
  40. 33 milhões de servidores Microsoft RDP vulneráveis sob ataque de DDoS

Página 16 de 92