Οι ερευνητές της Proofpoint ανακάλυψαν μια νέα καμπάνια κακόβουλου λογισμικού που εκμεταλλεύεται τα Google Sheets ως μηχανισμό εντολών και ελέγχου (C2). Αυτή η καμπάνια ξεκίνησε τον Αύγουστο του 2024 και στοχεύει σε πάνω από 70 οργανισμούς παγκοσμίως, συμπεριλαμβανομένων τομέων όπως η ασφάλιση, η αεροδιαστημική, η τεχνολογία και η κυβέρνηση.
Οι επιτιθέμενοι προσποιούνται ότι είναι φορολογικές αρχές από διάφορες χώρες και στέλνουν ψευδή emails που καλούν τους παραλήπτες να ενημερώσουν τα φορολογικά τους στοιχεία.
Όταν οι χρήστες κάνουν κλικ στον σύνδεσμο, μεταφέρονται σε μια σελίδα που ελέγχει αν το λειτουργικό σύστημα είναι Windows. Αν είναι, το σύστημα εκμεταλλεύεται ένα πρωτόκολλο για να εμφανίσει ένα αρχείο LNK που μοιάζει με PDF.
Εάν το αρχείο LNK εκτελεστεί, προκαλεί την εκτέλεση ενός script Python μέσω PowerShell, χωρίς να γίνεται λήψη αρχείων στον υπολογιστή. Το script συλλέγει πληροφορίες συστήματος και τις αποστέλλει σε έναν domain που ελέγχεται από τους επιτιθέμενους, ενώ εμφανίζεται ένα παραπλανητικό PDF για να παραπλανήσει τον χρήστη.
Το κακόβουλο λογισμικό, γνωστό ως Voldemort, είναι μια προσαρμοσμένη backdoor που χρησιμοποιείται για τη συλλογή πληροφοριών και την παράδοση επιπλέον κακόβουλων φορτίων. Οι επιτιθέμενοι χρησιμοποιούν τα Google Sheets για την εξαγωγή δεδομένων και την εκτέλεση εντολών.
Η εκστρατεία θεωρείται μέρος μιας ευρύτερης δραστηριότητας κατασκοπείας, αν και οι ερευνητές σημειώνουν ότι φέρει στοιχεία και από τον κόσμο του κυβερνοεγκλήματος. Χρησιμοποιούνται τεχνικές που είναι δημοφιλείς σε malware όπως τα Latrodectus, DarkGate και XWorm, με στόχο την αρχική πρόσβαση στα συστήματα.
Η καμπάνια φαίνεται να είναι καλά οργανωμένη, αλλά ταυτόχρονα παρουσιάζει συνδυασμό προηγμένων και βασικών τεχνικών, καθιστώντας δύσκολο να εκτιμηθεί πλήρως η ικανότητα των επιτιθέμενων. Οι ερευνητές καταλήγουν ότι η καμπάνια μπορεί να αποτελεί μέρος μιας ευρύτερης προσπάθειας κατασκοπείας με άγνωστους στόχους.
Αναλυτικά τα ευρήματα των ερευνητών εδώ.
