Concept w – stock.adobe.com
Predstojeći istraživači izveštavaju o novoj bandi za otkupnačara koji izgleda da čuva nasljeđe zloglasne bračne posade žive
Od
- Alex Scroxton,Sigurnosni urednik
Objavljeno: 13. marta 2025. 14:58
Emergent banda za prezime iskorištava dvije ranjivosti u fiellet firewall aparatima može imati veze sa trenutnim ili bivšim članovima zloglasne lonchit operacije, navodi se o inteligenciji objavljenom ove sedmice po forumu Vedere laboratorija za vedere.
Forut pripisuje superblack u akter za prijetnju praćen kao mora_001, koji izlaže različit operativni potpis koji miješaju oportunističke napade sa vezama u Ekosustavu zaključavanja, navodi istraživač Sai Molige.
Odnos “Mora_001 na šire operacije banchit-a naglašava povećanu složenost modernog pejzaža za otkupnačara – gdje su specijalizirani timovi sarađuju u iskorištavanje komplementarnih sposobnosti”, napisao je Molige i istraživački tim.
Mora_001 / Superblack’s Modus Pangeri do danas je fokusiran pažnju na CVE-2025-24472 i CVE-2024-55591 – par provjere autentičnosti otkrivenih u Fortinet’s Fortios i Fortiproxy – za početni pristup.
Ove ranjivosti omogućavaju neovlaštenom glumcu da dobiju pojačane prava administratora na uređajima koji trče Fortios sa izloženim sučeljima upravljanja. Eksploatacija dokaza koji se objavljuje 27. januara 2025. godine, eksploatiran je u roku od 96 sati, rekao je na predvid.
Jednom u svojoj ciljnoj mreži, banda se pomerila bočno i prioritetne ciljeve kao što su autentifikacijske, poslužitelje baze podataka i datoteka, kontrolera domena i ostale elemente mrežne infrastrukture njihovih žrtava. Potom su bile egfiltrirali podatke i pokrenuli šifriranje nakon što to učinite u prilično standardnom napadu ransomware-a.
Prepoznavanje uzoraka
U povezivanju mora_001 / Superblack do Lockbit – slavno je poremećen u višenacionalnoj radu u Velikoj Britaniji prije više od 12 mjeseci – Forescout-ovi analitičari rekli su da su primijetili niz ponašanja nakon eksploatacije u skladu sa Pleebook-om post-eksploataciji u skladu sa blokadom.
Oni su uključivali identična korisnička imena na mreže žrtvama, preklapajući se za IP adrese koje se koriste za pristup i komandu i kontrolu (C2), sličnu konfiguracijsku konfiguraciju ponašanja, i brzo raspoređivanje ransomware, često nakon samo 48 sati u “povoljnim” uvjetima “povoljnim” uvjetima.
Mora_001 / Superblack je također utjecao na procurinu izgradnju blokade, uklanjajući markiranje zaključavanja iz njegovih otkupnih bilješki i implementirajući vlastiti alat za exfiltraciju.
Najporniji dokazi trebalo je naći u otkupnoj napomeni bande, što uključuje id tox koji koristi lockbit za pregovore. Forut je rekao da je ovo predloženo mora_001 ili operativna pridruživanje lockbit-a ili pridružene grupe koja dijeli komunikacijske kanale s bandom.
“Primjećeni obrasci nakon eksploatacije omogućili su nam da definiramo jedinstveni operativni potpis koji postavlja Mora_001 osim ostalih operatora ransomware-a, uključujući podružnice za zaključavanje”, napisao je tim. “Ovaj dosljedni operativni okvir sugerira izrazit akter prijetnje sa strukturiranom playbook-om, a ne više operatera nakon generalizirane metodologije lonca.”
U analiziranja vremenske trake Mora_001 / Superblack upada, kao i preklapajući pokazatelje i operativne obrasce, foresca je rekao da sada može “samouvjereno” pripisati buduće napada na bandi, samostalno od onoga što može biti tačan odnos na Lockbit.
Nakon Nacionalne agencije za zločinu (NCA) – udruženi kruni Cronos, koji je poremetio bravu u februaru 2024. godine, u pitanju se u veljačama doživela značajnu fragmentaciju i povećanje broja operativnih bandi, što sugerira da je niz članova kolektiva zaključavanja pod pritiskom i postavljen ili pridružio se novim operacijama.
Iako su ovi prijedlozi samo teorije, otkriće Mora_001 / Superblack-a daje određenu težinu prema njima, a kako godina napreduje, zaostavština Lockbita izgleda da će ostati neko vrijeme da ostane neko vrijeme.
Više informacija o Mora_001 / Superblack, uključujući taktike, tehnike i postupke (TTPS), mogućnosti za otkrivanje i pokazatelje kompromisa (IOCS), mogu se dobiti iz predviđenog.
Pročitajte više o hakerima i prevenciji cyberfime-a
-
Pejzaž zauvijek izmijenjen? Zatvarač za zaključavanje jedne godine
Napisao: Alex Scroxton
-
Lockbit Ransomware banda zadirkuje 2025. februara
Napisao: Alex Scroxton
-
Odmrećen: zli Cyber gangster koji je radio za lockbit
Napisao: Alex Scroxton
-
Rizik i ponovite: hake, laži i lockbit
Napisao: Alexander Culafi