Positive Technologies的專家使用Maxpatrol SIEM事件監(jiān)控和事件管理系統(tǒng)檢測到網絡上的異常活動，表明惡意軟件的大規(guī)模傳播。這項研究發(fā)現，攻擊影響了164個國家的25萬多名用戶，其中大部分受害者在俄羅斯、烏克蘭、白俄羅斯和烏茲別克斯坦。
為了尋找必要的軟件，用戶經常訪問torrent資源，而不知道這種數據交換的危險性。然而，通過下載和安裝此類軟件，用戶允許攻擊者訪問其個人信息和銀行賬戶，如果公司計算機被感染，攻擊者將控制該設備，并利用該設備在針對雇主公司的攻擊鏈中組織中間節(jié)點。
2023年8月，Positive Technologies的SOC專家在一家俄羅斯公司發(fā)現了異常活動。事件需要PT CSIRT團隊(PT專家安全中心的一個部門)進行干預。專家們發(fā)現，被調查的公司的用戶是未知惡意軟件的受害者。
詳細的全面調查中，在164個國家發(fā)現了受害者。絕大多數(超過20萬)在俄羅斯、烏克蘭、白俄羅、烏茲別克斯坦。還包括來自印度、菲律賓、巴西、波蘭和德國的用戶。
根據CSIRT的數據，攻擊主要針對下載非法軟件的非公司用戶，但受害者包括政府機構、教育機構、石油和天然氣公司、醫(yī)療、建筑、零售和IT公司。他們都收到了威脅通知。
Positive Technologies安全專家中心網絡威脅研究主管Denis Kuvshinov表示：“一旦安裝，這種惡意軟件的行為就會非常復雜：它收集有關受害者計算機的信息，安裝 RMS(用于遠程控制)程序和 XMRig 礦工，并存檔用戶 Telegram 文件夾 (tdata) 的內容——這些只是在短時間內觀察中最活躍的行動。在我們觀察到的一個特定案例中，惡意軟件將收集到的信息從用戶的企業(yè)筆記本電腦發(fā)送到Telegram bot，它在該鏈中充當控制服務器?！?/span>
專家指出，入侵者訪問了Telegram文件夾，進入用戶的Telegram會話并監(jiān)視通信，從帳戶中提取數據，同時保持隱身。即使用戶設置了雙因素身份驗證，黑客也可以通過使用暴力強制(Brute Force)來成功地繞過它。建議Telegram用戶在檢測到黑客跡象后結束當前會話并再次登錄Messenger。
根據調查數據，此次襲擊中使用的惡意軟件并不難分析，專家們只研究了一次使用它的攻擊，就獲得了全球超過25萬受害者的信息。Positive Technologies認為，實際受害人數超過了這一數字，隨著使用這種武器的攻擊數量的增加，受害者人數只會增加。
文章來源：E安全
