WithSecure Onthult Trojaniseerde KeePass-campagne bij Ransomware-onderzoek

WithSecure dringt er bij organisaties op aan waakzaam te blijven voor supply chain compromitteringen, downloads zorgvuldig te verifiëren en te controleren op ongebruikelijk gedrag rondom gegevensopslagsystemen.

Het onderzoek wees uit dat aanvallers de broncode van KeePass hadden aangepast en deze hadden ondertekend met legitieme certificaten. Dit creëerde een ogenschijnlijk vertrouwde, maar kwaadaardige versie die werd verspreid via malvertising op zoekmachines. Deze gemanipuleerde KeePass-installer exfiltreerde in het geheim de inhoud van wachtwoorddatabases, terwijl het ook diende als aflevermechanisme voor post-exploitatie tools zoals Cobalt Strike beacons.

WithSecure heeft de kwaadaardige infrastructuur gekoppeld aan een productieve Initial Access Broker (IAB) die de afgelopen twee jaar geassocieerd is met talloze ransomware-aanvallen. Hun bevindingen benadrukken dat de campagne, die al minstens acht maanden actief is, waarschijnlijk een breed scala aan slachtoffers wereldwijd heeft getroffen – velen van hen zijn zich nog steeds niet bewust van de inbreuk.

Campagne

"Aanvallen zoals deze vormen een reële uitdaging voor netwerkverdedigers. Onopgemerkte malware, verspreid via advertenties op vertrouwde zoekmachines, omzeilt zowel menselijke argwaan als technische controles," aldus Timothy West, Director, Threat Intelligence & Outreach bij WithSecure. "De geavanceerdheid en heimelijkheid van deze campagne demonstreren de evoluerende capaciteiten van ransomware-actoren en onderstrepen de efficiëntie van de gebruikte technieken bij het effectief aanvallen van Europese organisaties."

Verdere analyse bracht een breder crimineel ecosysteem aan het licht dat valse software-downloads verspreidt via malvertising, gericht op meerdere legitieme merken naast KeePass. De aanvalsinfrastructuur en -methoden vertonen links naar ransomwaregroepen die historisch gezien verbonden zijn met Black Basta en BlackCat, hoewel de definitieve toeschrijving complex blijft vanwege de toenemende adoptie van 'as-a-service' criminele modellen.

"Er is vrijwel zeker een aanzienlijk aantal slachtoffers gerelateerd aan deze KeePass-campagne, die naar onze mening ongedocumenteerd en voortdurend is," concludeerde West.

Lees het volledige rapport hier: https://labs.withsecure.com/publications/keepass-trojanised-in-advanced-malware-campaign