Загрузчик Gootkit получил новый метод развёртывания для доставки Cobalt Strike

Согласно новому отчёту Cybereason, вредоносное ПО Gootkit активно атакует медицинские и финансовые организации в США, Великобритании и Австралии. В атаках операторы Gootkit заманивают жертв, ищущих соглашения и контракты в DuckDuckGo и Google, на заражённую страницу, что в конечном итоге приводит к развертыванию Gootloader.

Cybereason заявила, что расследовала этот инцидент ещё в декабре 2022 года, когда был принят новый метод развертывания, чтобы доставить Cobalt Strike и SystemBC для последующей эксплуатации. По словам экспертов, угроза продемонстрировала стремительное поведение, быстро направившись к зараженной сети и получив повышенные привилегии менее чем за 4 часа.

Процесс заражения Gootkit

Обнаруженная кампания примечательна тем, что она скрывает вредоносный код в легитимных библиотеках JavaScript, таких как jQuery, Chroma.js, Sizzle.js и Underscore.js. Этот код затем используется для доставки вторичной полезной нагрузки JavaScript размером 40 МБ, которая устанавливает постоянство и запускает вредоносное ПО.

Цепочка атаки новой кампании Gootkit

По словам Cybereason, заражение Gootloader включает Cobalt Strike и SystemBC для проведения бокового перемещения и кражи данных, но атака в конечном итоге была сорвана ИБ-специалистами.

Превращение Gootloader в сложный загрузчик еще раз отражает то, как злоумышленники постоянно ищут новые цели и методы для максимизации своей прибыли, переходя на модель «вредоносное ПО как услуга» (Malware-as-a-Service, MaaS) и продавая этот доступ другим преступникам.