Prema izvješću objavljenom 24. siječnja 2025. na portalu BleepingComputer, nepoznati napadač je ciljao manje iskusne hakere, poznate kao “script kiddies”, distribuirajući lažni alat za izradu zlonamjernog softvera koji je zapravo sadržavao stražnja vrata za krađu podataka i preuzimanje kontrole nad njihovim računalima.

Ovaj lažni alat, prikriven kao “XWorm RAT builder”, bio je distribuiran putem različitih kanala, uključujući GitHub repozitorije, platforme za dijeljenje datoteka, Telegram kanale, YouTube videozapise i web stranice. Namjera je bila privući neiskusne hakere koji traže besplatne alate za izradu zlonamjernog softvera, ne znajući da preuzimaju alat koji će kompromitirati njihova vlastita računala.

Nakon preuzimanja i pokretanja lažnog alata, zlonamjerni softver bi provjerio radi li na virtualnom okruženju; ako ne, izvršio bi promjene u Windows registru kako bi osigurao trajnost na sustavu. Zaraženi sustavi bili su povezani s komandno-kontrolnim (C2) serverom putem Telegram bota, omogućujući napadaču daljinsko upravljanje zaraženim računalima.

Zlonamjerni softver podržava 56 različitih komandi, uključujući:

• Krađu spremljenih lozinki, kolačića i podataka za automatsko popunjavanje iz web preglednika.
• Snimanje tipkanja (keylogging).
• Snimanje zaslona žrtve.
• Šifriranje svih datoteka na sustavu s određenom lozinkom.
• Gašenje određenih procesa, uključujući sigurnosni softver.
• Eksfiltraciju specifičnih datoteka sa zaraženog sustava.
• Uklanjanje zlonamjernog softvera s uređaja.

Istraživači iz tvrtke CloudSEK otkrili su da je napadač eksfiltrirao podatke s oko 11% zaraženih uređaja, uglavnom snimajući zaslone i kradući podatke iz preglednika.

Zanimljivo je da je zlonamjerni softver sadržavao “prekidač za isključivanje” koji je kasnije aktiviran kako bi se uklonio s mnogih zaraženih uređaja. Međutim, zbog praktičnih ograničenja, neki uređaji su i dalje ostali kompromitirani.

Ovaj incident naglašava rizike preuzimanja i korištenja neprovjerenog softvera iz nepouzdanih izvora, čak i unutar hakerske zajednice. Također služi kao podsjetnik da čak i oni s namjerom provođenja zlonamjernih aktivnosti mogu postati žrtve drugih napadača.

Prema izvješću objavljenom 24. siječnja 2025. na portalu BleepingComputer, nepoznati napadač je ciljao manje iskusne hakere, poznate kao “script kiddies”, distribuirajući lažni alat za izradu zlonamjernog softvera koji je zapravo sadržavao stražnja vrata za krađu podataka i preuzimanje kontrole nad njihovim računalima.

Ovaj lažni alat, prikriven kao “XWorm RAT builder”, bio je distribuiran putem različitih kanala, uključujući GitHub repozitorije, platforme za dijeljenje datoteka, Telegram kanale, YouTube videozapise i web stranice. Namjera je bila privući neiskusne hakere koji traže besplatne alate za izradu zlonamjernog softvera, ne znajući da preuzimaju alat koji će kompromitirati njihova vlastita računala.

Nakon preuzimanja i pokretanja lažnog alata, zlonamjerni softver bi provjerio radi li na virtualnom okruženju; ako ne, izvršio bi promjene u Windows registru kako bi osigurao trajnost na sustavu. Zaraženi sustavi bili su povezani s komandno-kontrolnim (C2) serverom putem Telegram bota, omogućujući napadaču daljinsko upravljanje zaraženim računalima.

Zlonamjerni softver podržava 56 različitih komandi, uključujući:

• Krađu spremljenih lozinki, kolačića i podataka za automatsko popunjavanje iz web preglednika.
• Snimanje tipkanja (keylogging).
• Snimanje zaslona žrtve.
• Šifriranje svih datoteka na sustavu s određenom lozinkom.
• Gašenje određenih procesa, uključujući sigurnosni softver.
• Eksfiltraciju specifičnih datoteka sa zaraženog sustava.
• Uklanjanje zlonamjernog softvera s uređaja.

Istraživači iz tvrtke CloudSEK otkrili su da je napadač eksfiltrirao podatke s oko 11% zaraženih uređaja, uglavnom snimajući zaslone i kradući podatke iz preglednika.

Zanimljivo je da je zlonamjerni softver sadržavao “prekidač za isključivanje” koji je kasnije aktiviran kako bi se uklonio s mnogih zaraženih uređaja. Međutim, zbog praktičnih ograničenja, neki uređaji su i dalje ostali kompromitirani.

Ovaj incident naglašava rizike preuzimanja i korištenja neprovjerenog softvera iz nepouzdanih izvora, čak i unutar hakerske zajednice. Također služi kao podsjetnik da čak i oni s namjerom provođenja zlonamjernih aktivnosti mogu postati žrtve drugih napadača.

Izvor: bleepingcomputer.com