כנופיית הסייבר DarkGate משתמשת ב-CAPTCHA כדי להפיץ תוכנות זדוניות

This post is also available in: English (אנגלית)

דו"ח איומי הסייבר האחרון של חברת HP Wolf Security שם דגש על DarkGate – כנופיי סייבר של פושעים אינטרנטיים המשתמשים בכלי פרסום חוקיים כדי לשפר התקפות קוד זדוני מבוססות ספאם.

בדו"ח נטען כי DarkGate פועלת כספקית תוכנות זדוניות מאז שנת 2018, אך נראה ששינתה טקטיקה בשנה שעברה ועברה לשימוש ברשתות פרסום לגיטימיות "כדי לעקוב אחר קורבנות ולהתחמק מגילוי". נראה כי על ידי שימוש בשירותי מודעות ופרסומות גורמי איום יכולים לנתח אילו פיתיונות מביאים לקליקים ומדביקים כמה שיותר משתמשים – ובכך לסייע להם לשפר קמפיינים של תקיפה להשפעה מרבית.

על פי אתר חדשות Cybernews, כנופיית  DarkGate תוקפת קורבנות פוטנציאליים באמצעות קמפיין פישינג בהודעת דואר אלקטרוני המעודדת אותם ללחוץ על קובץ PDF נגוע. אז, במקום לנתב מחדש את הקורבן ישירות לנוזקה, הקמפיין של DarkGate שולח אותם תחילה לרשת מודעות מקוונת לגיטימית. "שימוש ברשת מודעות כפרוקסי מסייע לפושעי סייבר להתחמק מגילוי ולאסוף ניתוחים על מי לוחץ על הקישורים שלהם", נכתב בדו"ח, מה שמאפשר ל-DarkGate להישען על ההגנות של חברת המודעות ולהשתמש בהן כדי להסתיר את הפעילות הזדונית שלה.

"מאחר שרשת המודעות משתמשת ב-CAPTCHA כדי לאמת משתמשים ולמנוע הונאת קליקים, ייתכן שמערכות ניתוח תוכנות זדוניות אוטומטיות לא יצליחו לסרוק את הקוד הזדוני משום שהן לא מסוגלות לאחזר ולבדוק את השלב הבא בשרשרת ההדבקות, מה שמסייע לגורמי האיום להתחמק מגילוי", הסבירה חברת Wolf Security.

יתרון נוסף של ניתוב דרך תחום לגיטימי ברשת מודעות ובקשה לעבור מבחן CAPTCHA הוא שזה גורם למזימה להיראות יותר אמיתית ותמימה ומוסיף למסווה הלגיטימציה של הקמפיין.

יתר על כן, נראה כי השירותים של DarkGate עולים אלפי דולרים וכנראה מכוונים ללקוחות בעלי יכולת ותקציב, ולפי Wolf Security משתמע כי הכלים של הקבוצה מכוונים לעברייני סייבר מובחרים ולא לחובבנים.

נראה כי גישה זו משתלמת עבור הכנופיה ולקוחותיה, והדו"ח טוען כי אפילו עובדים מיומנים יכולים ליפול לקמפיין הזה – "גורם האיום מאחורי הקמפיינים האלה מיומן ביצירת פיתיונות משכנעים להנדסה חברתית שקשה לזהות, אפילו עבור עובדים שהשלימו הכשרת מודעות לפישינג".