Специалисти алармираха за нова киберпрестъпна кампания със SocGholish

Компанията за сигурност Silent Push алармира за нова кампания на известна престъпна група посредством SocGholish/FakeUpdates.

SocGholish е името на зловреден, модулен фреймуърк, използван за разпространението на зловредни програми. Авторите на атаките използват SocGholish/FakeUpdates като MaaS (malware-as-a-service) платформа, продавайки получения чрез него достъп до заразени машини на други киберпрестъпници. Както подсказва и името на фреймуърка (FakeUpdates), той често представя пред потенциалните жертви подканяне за инсталиране на софтуерни актуализации за Google Chrome или Mozilla Firefox, Adobe Flash Player, Microsoft Teams и др. Що се отнася до киберпрестъпната група, която го използва, то тя е позната, като TA569. Но също и като Gold Prelude, Mustard Tempest, Purple Vallhund, UNC1543. В зависимост от приетата от компанията за сигурност, която разглежда действията им конвенция.

Настоящата кампания се разглежда от компанията за киберсигурност Silent Push. Подобно и на други кампании, и в тази началния вектор на атака се явяват компрометирани страници. Но в случая, освен чрез компрометирани сайтове, TA569 използват за привличане към страници със SocGholish и TDS (traffic distribution systems) системи. Използвани първоначално от рекламни агенти за целенасочена реклама и таргетиране по интереси, географски принцип и др., системите за разпределение на трафика бързо се овладяват от киберпрестъпници за привличане на потенциални жертви към заразени страници. В случая те използват услугите на две такива конкретни, сенчести платформи – Parrot TDS и Keitaro TDS. Последната е известна от кампании, доставящи троянски коне, рансъмуер и друг вид зловредни програми. Регистрирано е използването ѝ и в дезинформационни кампании. Но Keitaro се използва и за легитимни цели, което прави блокирането ѝ непрактично.

Целта на Silent Push с изследването е не само да осветли настоящата кампания, но и да посочи конкретни индикатори, използвани от SocGholish и TA569 IP адреси и домейни. Пълният текст на доклада може да намерите тук.