Studiuesit e Symantec zbuluan një fushatë nga grupi i hakerëve Witchetty që përdor steganografinë për të fshehur malware të pasme në logon e Windows.
Grupi Witchetty, i cili gjithashtu quhet LookingFrog, besohet se ka lidhje të ngushta me APT10 (“Cicada”, “Stone Panda” ose TA429), një kërcënim i mbështetur nga shteti kinez. Grupi besohet gjithashtu të jetë pjesë e TA410, një grup operativësh të lidhur më parë me sulmet ndaj kompanive të energjisë amerikane.
Symantec njoftoi se grupi po drejton një fushatë të re spiunazhi kibernetik, të nisur në shkurt 2022, e cila deri më tani ka synuar dy qeveri në Lindjen e Mesme dhe një bursë në Afrikë dhe është ende në vazhdim.
Hakerët përdorin një sërë mjetesh për të synuar dobësi të ndryshme, si dhe steganografi për të fshehur malware-in e tyre nga programet antivirus.
Steganografia është teknika e fshehjes së mesazheve sekrete (dhe në këtë rast malware) në një skedar që është publik, si një imazh, për të shmangur zbulimin. Për shembull, një haker mund të krijojë një imazh që shfaqet në mënyrë korrekte në një kompjuter, por në të vërtetë përmban kod me qëllim të keq që mund të nxirret prej tij.
Në një fushatë të zbuluar nga Symantec, Witchetty përdor steganografinë për të fshehur malware të pasme në një imazh bitmap të një logoje të vjetër të Windows që gjendet në një depo të GitHub.
Sulmuesit më pas shkarkojnë backdoor-in e Stegmap që është i fshehur në imazh, i cili si çdo backdoor tjetër ka një gamë të gjerë funksionesh që e lejojnë atë të kryejë një sërë aktivitetesh me qëllim të keq, duke përfshirë manipulimin e skedarëve, shkarkimin dhe lëshimin e malware të tjerë, ndërprerjen e procesit, modifikimet në regjistrin e Windows dhe nxjerrjen e skedarëve nga sistemi i infektuar.
“Witchetty ka demonstruar aftësinë për të përmirësuar dhe rifreskuar vazhdimisht grupin e veglave të tij për të kompromentuar objektivat e interesit,” thanë studiuesit.
TA410 dhe Witchetty mbeten kërcënime aktive për qeveritë dhe organizatat qeveritare në mbarë botën. Mënyra më e mirë për të parandaluar sulmet e tyre është aplikimi i përditësimeve të sigurisë sapo ato të lëshohen, sepse, siç mund ta shohim, në këtë fushatë hakerët mbështeten në shfrytëzimin e dobësive të vitit të kaluar për të hakuar rrjetet, duke përfituar nga administrimi i keq në serverët e ekspozuar publikisht.
