Criminelen bespioneren belangrijke overheidsinstellingen en persdienst in de Oekraïne, Rusland en Wit-Rusland
ESET heeft een uitgebreide analyse gemaakt van de wijze waarop de cyberspionagegroep achter de malwarefamilie Win32/Potao te werk is gegaan. De Potao-familie is een typische cyberspionage-trojan, die wachtwoorden en gevoelige informatie steelt om ze vervolgens aan te bieden aan de aanvaller. De cyberspionnen gebruikten de malware met name voor het stelen van data van overheidsinstellingen in Oekraïne, Rusland en Wit-Rusland en een persdienst in Oekraïne.
Social engineering
Win32/Potao is dan ook een voorbeeld van spionagemalware en actief sinds 2011. De laatste twee jaar werd deze malware steeds vaker gesignaleerd. Opvallend was dat de spionnen geen misbruik hoefden te maken van softwarelekken of gaten in de beveiliging. Ze pasten met name social engineering toe, een methode die uitgaat van het manipuleren van mensen.
Gerichte aanvallen
De aanvallen met de malware waren beslist niet willekeurig. Net als BlackEnergy, is Potao gebruikt om Oekraïense overheidsinstellingen, militaire doelen en een grote persdienst te bespioneren. Ook leden van MMM, een financieel piramidespel, dat populair is in Rusland en de Oekraïne, zijn zo in de gaten gehouden.
Encyrptiesoftware als infectiehaard
Uit de analyse blijkt dat er een relatie is met een Russische versie van TrueCrypt en de truecryptrussia.ru website. Deze website leverde niet alleen geïnfecteerde encryptie software, maar trad in sommige gevallen ook op als een command and control (C&C) server voor de backdoor. Dat is opvallend, wat TrueCrypt is een bekende, veelgebruikte oplossing voor het versleutelen van data.
In het ESET blog en de whitepaper ‘Operation Potao Express’ worden de technische details en verspreidingsmechanismen van deze malware-variant uitgebreid beschreven.
Dossiers
Meer over
Lees ook
ESET research onderzoekt de Gamaredon APT-groep
ESET,-onderzoekers onderzochten de operaties van Gamaredon, een APT-groep die door Rusland wordt gesteund en al minstens sinds 2013 actief is en momenteel de meest actieve APT-groep in Oekraïne is. Gamaredon wordt door de Oekraïense veiligheidsdienst (SSU) toegeschreven aan het 18e Russische centrum voor informatiebeveiliging van de FSB, dat opere1
ESET Research: Hamster Kombat-game misbruikt door cybercriminelen
De afgelopen maanden heeft het Telegram-klikspel Hamster Kombat de wereld van liefhebbers van cryptocurrency-spellen op zijn kop gezet. Zoals te verwachten was, heeft het succes van Hamster Kombat ook cybercriminelen gelokt, die al zijn begonnen met het inzetten van malware gericht op de spelers van het spel.
Grootschalige ontmanteling van botnets
Politiediensten, Eurojust en Europol kondigden Operation Endgame aan. Dit is een grootschalige poging om de infrastructuur van malware en botnets te verstoren en de betrokken personen te identificeren. In een persbericht noemde Europol het de ‘grootste operatie ooit tegen botnets die een cruciale rol spelen bij het verspreiden van ransomware’.