0 
0 Um grupo de ameaças emergente ligado à Rússia está aumentando sua operação de malware como serviço , empacotando vários de seus módulos em uma oferta de malware multifuncional, apelidada de LilithBot, que está vendendo via Telegram.
O grupo Eternity – também conhecido como EternityTeam ou Eternity Project – está ativo desde pelo menos janeiro e usa um modelo de assinatura “como serviço” para distribuir diferentes módulos de malware da marca Eternity em fóruns clandestinos. Suas ofertas maliciosas individuais incluem um ladrão, minerador, botnet, ransomware, worm com conta-gotas e bot distribuído de negação de serviço (DDoS), revelaram pesquisadores do Zscaler ThreatLabz em um post publicado esta semana.
Em uma campanha observada recentemente, a Eternity juntou vários desses módulos em “compras únicas para essas várias cargas úteis”, escreveram o pesquisador de segurança da Zscaler Shatak Jain e o gerente sênior de programa Aditya Sharma no post. O agente da ameaça está distribuindo o malware multifuncional LilithBot por meio de seu grupo dedicado de Telegram e um link Tor.
“Além de sua principal funcionalidade de botnet, ele também possui recursos integrados de roubo, recorte e mineração”, escreveram os pesquisadores sobre a campanha LilithBot, que parece ter várias variantes.
Quem é EternityTeam?
A EternityTeam tem links para o Russian Jester Group e oferece um kit de ferramentas de malware vendido por meio de um serviço de assinatura de malware como serviço anunciado por meio de um canal dedicado do Telegram, chamado @EternityDeveloper.
Outras empresas de segurança também estudaram o grupo. Em janeiro, a empresa de segurança Cyberint identificou o grupo e seus vários módulos de malware como uma força emergente a ser reconhecida no setor de crimes cibernéticos clandestinos. Em maio, uma pesquisa da empresa de segurança Sekoia.IO identificou o grupo como um novo “proeminente vendedor de malware” e forneceu análises sobre as várias ferramentas em seu arsenal.
Normalmente, a EternityTeam oferece diferentes serviços individualmente – incluindo um ladrão, minerador, clipper, ransomware, worm plus dropper e DDoS Bot – e aceita pagamento por meio de várias criptomoedas, incluindo Bitcoin, Ethereum, Monero e Tether/USDT, entre outras.
A Eternity também oferece vírus personalizados e criará vírus com recursos adicionais mediante solicitação do cliente. O preço dos vários malwares que o grupo vende varia de US$ 90 a US$ 470, com seu produto de ransomware com o preço mais alto.
O grupo de crimes cibernéticos comanda um navio apertado: seu negócio é extremamente “amigável ao usuário” por várias razões, observaram os pesquisadores da Zscaler. É fácil para os cibercriminosos comprar e operar via Tor, e o serviço aceita criptomoedas como pagamento; é personalizável para atender às necessidades dos clientes; e é atualizado regularmente sem custo adicional, eles disseram. O grupo também oferece descontos adicionais e recompensas por indicação aos seus clientes.
Campanha LilithBot
Assim como as empresas legítimas costumam ver o valor de agrupar serviços, o mesmo acontece com os operadores de crimes cibernéticos. O LilithBot é um exemplo dessa prática, com a Eternity vendendo o malware multifuncional como uma assinatura, semelhante à forma como distribui seus módulos individuais de malware como serviço.
Existem muitos outros exemplos de invasores que distribuem malware que não depende de uma competência central, mas de uma gama combinada de funcionalidades maliciosas em um pacote. O malware Chaos é um exemplo disso, tendo evoluído recentemente de seu criador de ransomware original para uma ferramenta de DDoS e criptomineração.
Embora o LilithBot seja diferente, pois está começando como uma combinação dos serviços existentes de um grupo de ameaças, em vez de evoluir para um novo tipo de malware, é semelhante, pois possui um impacto malicioso e multifuncional.
O LilithBot inicia sua atividade nefasta registrando-se como um botnet em um sistema afetado e depois se descriptografa passo a passo para descartar seu arquivo de configuração, disseram os pesquisadores. Ele continua roubando arquivos e informações do usuário, que são enviados por meio de um arquivo zip para um servidor de comando e controle (C2) usando a rede Tor. O LilithBot também usa certificados falsos para contornar as detecções e fornecer suas várias funcionalidades como ladrão, minerador de criptomoedas e clipper.
Os pesquisadores do Zscaler observaram duas variantes do LilithBot sendo distribuídas pela Eternity, com pequenas diferenças nas principais funções de cada versão, disseram eles. Especificamente, alguns comandos que estavam presentes em variantes anteriores estavam ausentes da variante mais recente que os pesquisadores analisaram.
A versão mais recente do LilithBot não verifica mais a presença de várias DLLs relacionadas a softwares virtuais como Sandboxie, 360 Total Security, Avast e COMODO Avs, nem o Win32_PortConnector que representa portas de conexão física como DB-25 pinos macho, Centronics, ou PS/2 para garantir que o malware esteja sendo executado em uma máquina física em vez de virtual.
“É provável que o grupo ainda esteja executando essas funções”, escreveram os pesquisadores, “mas fazendo isso de maneiras mais sofisticadas: como executá-las dinamicamente, criptografar as funções como outras regiões de código ou usar outras táticas avançadas”.
FONTE: DARK READING