Scaipeann malware SVG bréige sa Cholóim: déanann sé aithris ar Oifig an Ard-Aighne agus suiteáileann sé AsyncRAT sa deireadh.

I Meiriceá Laidineach bhí tonn feachtas mailíseach leis an gColóim mar lárphointe, áit a ndáileann ríomhphoist a bhfuil cuma orthu go dtagann siad ó eagraíochtaí oifigiúla comhaid neamhghnácha chun ríomhairí a ionfhabhtú.

Tá an crúca mar a chéile i gcónaí -innealtóireacht shóisialta le toghairmeacha nó cásanna dlí bréagacha—, ach tá léim chun cinn déanta ag an modh seachadta: Ceangaltáin SVG le loighic leabaithe, teimpléid uathoibrithe, agus comharthaí a dhíríonn ar phróisis le cúnamh AI.

Oibríocht atá dírithe ar úsáideoirí sa Cholóim

Teachtaireachtaí ag aithris eintitis amhail Oifig an Ard-Aighne agus comhad .svg a áireamh a mbeadh a mhéid – a sháraíonn 10 MB go minic – ina chúis amhras cheana féin. Nuair a osclaíonn tú é, in ionad doiciméad dlisteanach, feiceann tú comhéadan a insamhlaíonn nósanna imeachta oifigiúla le barraí dul chun cinn agus fíoruithe ceaptha.

Tar éis cúpla soicind, sábhálann an brabhsálaí féin Cód Poist faoi chosaint pasfhocail, a thaispeántar go soiléir laistigh den chomhad céanna, rud a threisíonn céimniú nós imeachta “foirmiúil”. I gceann de na samplaí a ndearnadh anailís orthu (SHA-1: 0AA1D24F40EEC02B26A12FBE2250CAB1C9F7B958), d'aithin réitigh slándála ESET é mar JS/TrojanDropper.Agent.PSJ.

Ní loingsiú ollmhór é le ceangaltán amháin: Faigheann gach faighteoir SVG difriúil, le sonraí randamacha a fhágann go bhfuil sé uathúil. Déanann an “polamorfacht” seo an scagadh uathoibrithe agus obair na n-anailísithe araon deacair.

Taispeántas teileiméadrachta buaicphointe gníomhaíochta lár na seachtaine i mí Lúnasa, le minicíocht níos airde i measc úsáideoirí atá lonnaithe sa Cholóim, rud a thugann le fios feachtas leanúnach atá dírithe ar an tír sin.

Ról an chomhaid SVG agus an cleas smuigleála

Is SVG é Formáid íomhá veicteora bunaithe ar XMLLeis an tsolúbthacht seo—téacs, stíleanna, agus scripteanna laistigh den chomhad céanna—is féidir le hionsaitheoirí ionchorprú cód agus sonraí i bhfolach gan gá le hacmhainní seachtracha infheicthe, teicníc ar a dtugtar “smuigleáil SVG” agus atá doiciméadaithe i MITRE ATT&CK.

Sa fheachtas seo, déantar an mheabhlaireacht laistigh den SVG féin: déantar leathanach faisnéise bréige a léiriú le rialuithe agus teachtaireachtaí a fhágann, nuair a bheidh sé críochnaithe, go sábhálann an brabhsálaí pacáiste ZIP le comhad inrite a chuireann tús leis an gcéad chéim eile den ionfhabhtú.

Nuair a chuireann an t-íospartach an t-ábhar íoslódáilte i gcrích, téann an slabhra ar aghaidh tríd DLL sideloadingLuchtóidh comhad dénártha dlisteanach gan a fhios dó leabharlann cheardaíochta nach bhfaightear faoi deara agus a ligeann don ionsaitheoir leanúint leis an ionradh.

Is é an sprioc deiridh a shuiteáil AsyncRAT, Trojan rochtana cianda atá in ann logáil eochrach, dí-scaipeadh comhad, gabháil scáileáin, ceamara rialaithe agus micreafón agus dintiúir atá stóráilte i mbrabhsálaithe a ghoid.

Uathoibriú agus lorg coise AI i dteimpléid

Nochtann marcáil na SVGanna anailísithe Frásaí cineálacha, réimsí leagan amach folamh, agus ranganna atá ró-thuairisciúil, chomh maith le hionaduithe buailte—amhail siombailí oifigiúla le emojis— nach n-úsáidfeadh aon tairseach fíor.

Tá pasfhocail shoiléire agus “haiseanna fíoraithe” ceaptha ann freisin a Níl iontu ach teaghráin MD5 gan bailíocht phraiticiúil. Léiríonn gach rud trealamh réamhdhéanta nó teimpléid a ghintear go huathoibríoch chun ceangaltáin a tháirgeadh i sraith le hiarracht dhaonna íosta.

Seachaint agus uimhreacha feachtasaíochta

Tá ardáin chomhroinnte samplaí curtha san áireamh ar a laghad 44 SVG uathúil fostaithe san oibríocht agus níos mó ná 500 déantán gaolmhar ó lár mhí LúnasaBhí na chéad mhalartacha trom—thart ar 25 MB—agus rinneadh iad a “choigeartú” le himeacht ama.

Chun rialuithe a sheachaint, úsáidtear na samplaí doiléiriú, polamorfacht, agus méideanna móra cód ata a chuireann mearbhall ar anailís statach, rud a d’eascair as braiteadh tosaigh íseal ag roinnt innill.

An úsáid a bhaintear as Marcóirí Spáinnise laistigh den XML agus thug patrúin athchleachtacha deis do thaighdeoirí rialacha seilge agus sínithe a chruthú a cheangail na céadta loingsiú leis an bhfeachtas céanna, nuair a cuireadh i bhfeidhm iad go siarghabhálach.

Veicteoir eile: comhaid SWF chomhcheangailte

Ag an am céanna, breathnaíodh air Comhaid SWF faoi cheilt mar mhionchluichí 3T, le modúil ActionScript agus gnáthaimh AES a mheasc loighic fheidhmiúil le comhpháirteanna teimhneacha; cleas a ardaíonn tairseacha heorastacha agus moill a chur ar a n-aicmiú mar mailíseach.

El Rinne an duo SWF+SVG aithris mar droichead idir formáidí oidhreachta agus nua-aimsearthaCé go raibh mearbhall ag an SWF ar na hinnill, an Chuir SVG leathanach fioscaireachta HTML ionchódaithe isteach agus d’fhág sé ZIP breise gan aon idirghníomhaíocht úsáideora thar an gcéad chlic.

An teaglaim de samplaí pearsantaithe in aghaidh an íospartaigh, comhaid mhóra agus teicnící smuigleála míníonn sé sin go bhfuil an scagairí bunaithe ar cháil nó ar phatrúin shimplí níor stop siad an scaipeadh sna chéad tonnta.

Is é atá le feiceáil sna torthaí seo ná oibríocht a Bain leas iomlán as an bhformáid SVG chun eagraíochtaí Colóimeacha a phearsantú, uathoibríonn cruthú ceangaltán agus críochnaíonn sé le AsyncRAT trí uaslódáil taobh DLL. Nuair a bhíonn aon ríomhphost "toghairm" ann ina bhfuil comhad .svg nó pasfhocail shoiléire, is ciallmhar a bheith amhrasach agus bailíochtú trí chainéil oifigiúla sula n-osclaítear aon rud.