Υπό κυβερνοαπειλή τα online καζίνο

Της Αφροδίτης Μπαλίδου

Μια νέα εκστρατεία επίθεσης στοχεύει τους τομείς του gaming και gambling από τον Σεπτέμβριο του 2022. Την ίδια στιγμή η εμπορική έκθεση της βιομηχανίας τυχερών παιχνιδιών ICE London 2023 έχει προγραμματιστεί να ξεκινήσει αυτή την εβδομάδα.

Η εταιρεία κυβερνοασφάλειας Security Joes παρακολουθεί το σύμπλεγμα δραστηριοτήτων ονόματι Ice Breaker, δηλώνοντας ότι οι επιτιθέμενοι χρησιμοποιούν έξυπνες τακτικές social engineering για την ανάπτυξη μιας JavaScript «backdoor». Ειδικότερα, ο επιτιθέμενος παρουσιάζεται ως πελάτης, ενώ ταυτόχρονα ξεκινά μία συνομιλία με έναν αντιπρόσωπο υποστήριξης μιας εταιρείας τυχερών παιχνιδιών με το πρόσχημα ότι έχει προβλήματα με την εγγραφή λογαριασμού. Στη συνέχεια, ο παράγοντας της απειλής προτρέπει το άτομο στην άλλη άκρη να ανοίξει μια εικόνα στιγμιότυπου οθόνης που φιλοξενείται στο Dropbox, γνωρίζοντας πως πίσω από την εξυπηρέτηση πελατών υπάρχει όντως κάποιος άνθρωπος. Μέσω του κλικ, λοιπόν, στο υποτιθέμενο στιγμιότυπο οθόνης που αποστέλλεται στη συνομιλία, επιτρέπει στον επιτιθέμενο την ανάκτηση ενός ωφέλιμου φορτίου LNK ή, εναλλακτικά, ενός αρχείου VBScript ως εφεδρική επιλογή, το πρώτο από τα οποία έχει ρυθμιστεί για λήψη και εκτέλεση ενός πακέτου MSI που περιέχει ένα εμφύτευμα Node.js.

Το αρχείο JavaScript έχει όλα τα χαρακτηριστικά μιας τυπικής backdoor, επιτρέποντας στον παράγοντα απειλής να απαριθμεί διεργασίες που εκτελούνται, να κλέβει κωδικούς πρόσβασης και cookies, να εκτοπίζει αυθαίρετα αρχεία, να παίρνει στιγμιότυπα οθόνης, να εκτελεί το VBScript που έχει εισαχθεί από έναν απομακρυσμένο διακομιστή και ακόμη και να ανοίγει έναν αντίστροφο διακομιστή μεσολάβησης στον ήδη παραβιασμένο. Εάν το πρόγραμμα λήψης VBS εκτελεστεί από το θύμα, η μόλυνση κορυφώνεται με την ανάπτυξη του Houdini, ενός trojan απομακρυσμένης πρόσβασης που βασίζεται σε VBS που χρονολογείται από το 2013.

Η προέλευση των παραγόντων απειλής είναι προς το παρόν άγνωστη, αν και έχουν παρατηρηθεί να χρησιμοποιούν σπασμένα αγγλικά κατά τη διάρκεια συνομιλιών τους με πράκτορες εξυπηρέτησης πελατών. «Το κακόβουλο λογισμικό δεύτερου σταδίου JavaScript είναι εξαιρετικά πολύπλοκο στην ανίχνευση, δείχνοντας ότι έχουμε να κάνουμε με έναν έμπειρο παράγοντα απειλών με τη δυνατότητα να χρηματοδοτείται από έναν ιδιοκτήτη συμφερόντων», δήλωσε σχετικά με τον/τους δράστη/δράστες ο Felipe Duarte, Senior Threat Researcher του Security Joes.

Τεύχος 224