Cybercriminal يستخدمون أداة التحميل الجديدة “Bumblebee”

Cybercriminal يستخدمون أداة التحميل الجديدة “Bumblebee” ,لاحظ ممثلو Cybercriminal سابقًا تقديم BazaLoader و IcedID كجزء من حملات البرامج الضارة الخاصة بهم ، ويُقال إنهم قد انتقلوا إلى أداة تحميل جديدة تسمى Bumblebee قيد التطوير النشط.

“استنادًا إلى توقيت ظهورها في مشهد التهديدات واستخدامها من قبل مجموعات مجرمي الإنترنت المتعددة ، فمن المحتمل أن تكون Bumblebee ، إن لم تكن بديلاً مباشرًا لـ BazaLoader ، فهي أداة جديدة متعددة الوظائف تستخدمها الجهات الفاعلة التي فضلت تاريخيًا برامج ضارة أخرى ، مؤسسة وقالت شركة Proofpoint الأمنية في تقرير تمت مشاركته مع The Hacker News.

يقال إن الحملات التي توزع أداة التحميل الجديدة المتطورة للغاية قد بدأت في مارس 2022. مع مشاركة التداخلات مع النشاط الضار الذي أدى إلى نشر برامج الفدية Conti و Diavol. مما يزيد من احتمال أن يكون المحمل بمثابة مقدمة لهجمات برامج الفدية.

يتحدث الباحثون عن:

قال الباحثون: “الفاعلون المهددون الذين يستخدمون Bumblebee مرتبطون بحمولات البرمجيات الخبيثة التي تم ربطها بمتابعة حملات الفدية”.

إلى جانب تقديم فحوصات مكافحة الظاهرية ، تمت كتابة Bumblebee بلغة C ++ وتم تصميمها لتكون بمثابة أداة تنزيل لاسترداد وتنفيذ حمولات المرحلة التالية ، بما في ذلك Cobalt Strike و Sliver و Meterpreter و shellcode.

ومن المثير للاهتمام. أن الكشف المتزايد عن أداة تحميل البرامج الضارة في مشهد التهديدات يتوافق مع انخفاض في عمليات نشر BazaLoader منذ فبراير 2022. وهو أداة تحميل شائعة أخرى تستخدم لتقديم البرامج الضارة لتشفير الملفات والتي طورتها عصابة TrickBot التي انتهت صلاحيتها ، والتي تم استيعابها منذ ذلك الحين كونتي.

اتخذت سلاسل الهجوم التي توزع Bumblebee شكل إغراءات التصيد الاحتيالي للبريد الإلكتروني التي تحمل علامة DocuSign والتي تتضمن روابط احتيالية أو مرفقات HTML. مما يؤدي بالضحايا المحتملين إلى ملف ISO مضغوط مستضاف على Microsoft OneDrive.

علاوة على ذلك. يستخدم عنوان URL المضمن في مرفق HTML نظام توجيه حركة المرور (TDS) المدعو بروميثيوس – وهو متاح للبيع على منصات تحت الأرض مقابل 250 دولارًا شهريًا – لإعادة توجيه عناوين URL إلى ملفات الأرشيف بناءً على المنطقة الزمنية و ملفات تعريف الارتباط للضحايا.

تشتمل ملفات ZIP.

على ملفات .LNK و. DAT. مع ملف اختصار Windows الذي يقوم بتنفيذ الملف الأخير الذي يحتوي على Bumblebee downloader. قبل استخدامه لتقديم البرامج الضارة BazaLoader و IcedID.

تضمنت الحملة الثانية في أبريل 2022 مخططًا لاختطاف الخيط حيث تم الاستيلاء على رسائل بريد إلكتروني مشروعة تحت عنوان الفاتورة لإرسال ملفات ISO مضغوطة. والتي تم استخدامها بعد ذلك لتنفيذ ملف DLL لتنشيط أداة التحميل.

لوحظ أيضًا إساءة استخدام نموذج الاتصال الموجود على موقع الويب الخاص بالهدف لإرسال رسالة تدعي انتهاك حقوق الطبع والنشر للصور. وتوجيه الضحية إلى رابط Google Cloud Storage الذي ينتج عنه تنزيل ملف ISO مضغوط. وبالتالي استمرار تسلسل العدوى المذكور أعلاه .

يعد الانتقال من BazaLoader إلى Bumblebee دليلًا إضافيًا على أن هؤلاء الممثلين المهددون – من المحتمل أن يكونوا وسطاء وصول أوليين يتسللون إلى الأهداف ثم يبيعون ذلك الوصول إلى الآخرين – يتلقون البرامج الضارة من مصدر مشترك . بينما يشيرون أيضًا إلى المغادرة بعد أن أصبحت مجموعة أدوات هجوم مجموعة Conti. المعرفة العامة في نفس الوقت تقريبًا.

استيلاء كونتي على شبكة TrickBot

يتزامن التطور أيضًا مع استيلاء كونتي على شبكة TrickBot سيئة السمعة وإغلاقها للتركيز على تطوير البرامج الضارة BazaLoader و Anchor. ليس من الواضح على الفور ما إذا كان Bumblebee من عمل ممثلي TrickBot وما إذا كانت التسريبات قد دفعت العصابة إلى التخلي عن BazaLoader لصالح برنامج ضار جديد تمامًا.

لكن الباحث في البرمجيات الخبيثة في Cybereason. إيلي سالم. حدد ، في تحليل مستقل. نقاط التشابه بين Bumblebee و TrickBot. بما في ذلك استخدام وحدة حقن الويب الخاصة بالأخير ونفس تقنية التهرب. مما يضفي مصداقية على احتمال أن المؤلفين وراء Bumblebee قد يكون لديهم الوصول إلى شفرة مصدر TrickBot.

قال Sherrod DeGrippo. نائب رئيس أبحاث التهديدات واكتشافها في Proofpoint. “إن إدخال أداة تحميل Bumblebee إلى مشهد تهديدات البرامج الإجرامية واستبدالها الواضح لـ BazaLoader يوضح المرونة التي يتعين على الجهات الفاعلة في التهديد بها تغيير TTPs واعتماد برامج ضارة جديدة”.

وأضاف DeGrippo “بالإضافة إلى ذلك ، فإن البرمجيات الخبيثة معقدة للغاية ، وتدل على كونها قيد التطوير المستمر والنشط لإدخال طرق جديدة للتهرب من الاكتشاف”.

اذا وجدت هذه المقالة مثيرة للاهتمام؟ تابعً على Facebook لقراءة المزيد من المحتوى الحصري الذي ننشره.