Astaroth blir kraftfullare med YouTube-kanaler för C2

Astaroth, trojan som specialiserat sig på att stjäla känslig information upptäcktes förra året och fram till nu har den utvecklats till en topp smygande skadlig kod, som diversifierar sitt skydd mot kontroller för att förhindra säkerhetsforskare att upptäcka och stoppa den.

Förra året meddelade Microsoft att Windows Defender ATP-teamet upptäckte många pågående malware-kampanjer. Dessa kampanjer distribuerade Astaroth-skadlig kod på ett fileless sätt, vilket gör det ännu farligare.

På tal om skadlig programkampanjer kan du klämma i knoppen med dessa antimalware-verktyg.

Så här beskrev en Microsoft Defender ATP-forskare attackerna:

Jag gjorde en standardgranskning av telemetri när jag märkte en anomali från en detektionsalgoritm som är utformad för att fånga en specifik fillös teknik. Telemetri visade en kraftig ökning av användningen av Windows Management Instrumentation Command-line (WMIC) -verktyget för att köra ett skript (en teknik som MITER hänvisar till XSL Script Processing), vilket indikerar en fileless attack

Vad är Astaroth hittills?

I en ny rapport säger Cisco Talos att Astaroth fortfarande förlitar sig på e-postkampanjer för distribution, det har ett fileless utförande och det lever av landet (LOLbins). Den dåliga nyheten är att den också fick tre nya stora uppdateringar som citeras från Cisco Talos-rapporten:

Astaroth implementerar en robust serie av anti-analys / undvikande tekniker, bland de mest grundliga vi har sett nyligen.
Astaroth är effektivt för att undvika upptäckt och säkerställer med rimlig säkerhet att den bara installeras på system i Brasilien och inte på sandlådor och forskarsystem.
Ny användning av YouTube-kanaler för C2 hjälper till att undvika upptäckt genom att använda en vanligt använd tjänst på vanliga portar.

Vad är Astaroth och hur det fungerar?

Om du inte visste är Astaroth en välkänd skadlig programvara som fokuserar på att stjäla känslig information som referenser och annan personlig information och skicka tillbaka den till angriparen.

Även om många Windows 10-användare har antivirusprogram eller antivirusprogram gör den fillösa tekniken det svårare att upptäcka skadlig programvara. Här är OP-schemat om hur attacken fungerar:

En mycket intressant sak är att inga filer, utom systemverktyg, är inblandade i attackprocessen. Denna teknik kallas lever av landet och det används vanligtvis för att enkelt bakdörra traditionella antiviruslösningar.

Hur kan jag skydda mitt system mot denna attack?

Först och främst, se till att din Windows 10 är uppdaterad. Se också till att din Windows Defender-brandvägg är igång och har de senaste definitionsuppdateringarna.

Utsätt dig inte för onödiga risker. Ta reda på varför Windows Defender är det enda skadliga programbarriären du behöver!

Om du är en Office 365-användare kommer du gärna att veta att:

För denna Astaroth-kampanj upptäcker Office 365Advanced Threat Protection (Office 365ATP) e-postmeddelandena med skadliga länkar som startar infektionskedjan.

Lyckligtvis riktar Astaroth sig främst till Brasilien, och e-postmeddelandena du skulle få är i Portughese. Var dock på tårna om det.

Som alltid, för fler förslag eller frågor, kontakta avsnittet nedan.

Redaktörens anmärkning: Detta inlägg publicerades ursprungligen i juli 2019 och har sedan moderniserats och uppdaterats i maj 2020 för friskhet, noggrannhet och omfattning.

Cybersäkerhet
skadlig kod