![](https://www.duken.nl/forums/uploads/monthly_2024_07/dalle-UZGGzuE1V6.png.68b6b2af74ed34fde4d21f2a2d315d7c.png)
Cybercriminele organisatie CrystalRay steelt gegevens met behulp van open-source software
De opmars van cybercriminele organisaties vertoont verrassende parallellen met de groeistrategieën van hun legale tegenhangers, zoals blijkt uit een diepgaande analyse door het Sysdig Threat Research Team (TRT). Hun recente bevindingen belichten de snelle toename van een bijzonder vindingrijke groep, CrystalRay, die gretig open-source software inzet om haar onwettige doeleinden te bereiken.
CrystalRay hanteert diversificatie in haar criminele activiteiten, variërend van het ontvreemden van inloggegevens tot het installeren van cryptominers, en gaat een stap verder door de illicit verkregen toegang te verkopen op het dark web. Binnen slechts enkele maanden na hun initiële ontdekking in februari, constateerde het Sysdig-team een forse groei van getroffen organisaties - een vertienvoudiging tot 1.500 slachtoffers over de hele wereld.
Hoewel deze groep zijn onheilspellende activiteiten over de hele wereld uitstrekt, zijn bedrijven in de Verenigde Staten (30%) en China (18%) onevenredig het doelwit, naast significante impact in Duitsland, het Verenigd Koninkrijk, Frankrijk, Nederland, Japan, en Rusland. Een voorkeursmethode van aanval is via kwetsbaarheden binnen Atlassian Confluence, een populaire workspace-oplossing reeds te kampen gehad met beveiligingsissues.
Een essentieel wapen in het arsenaal van CrystalRay blijkt SSH-Snake, een tool bedoeld voor penetratietesten beschikbaar op GitHub, die qua gebruik zich niet beperkt tot kwade doeleinden maar ook nuttig is voor beheerders die hun eigen netwerken willen testen. Dit stuk gereedschap, een zelfverspreidende worm, kan grondig door bedrijfsnetwerken infiltreren, geholpen door configuratiefouten en beveiligingslekken.
CrystalRay's unieke benadering om hun doelwitten uit te kiezen, wijkt af van geavanceerdere methoden gebruikt bij staatssponsoring of ransomware-aanvallen en volgt een gerichter trajekt dan de traditionele botnets door het benaderen op land specifieke IP-reeksen. Eenmaal toegang verkregen tot een systeem, zetten ze ASN in, nog een tool die verkrijgbaar is via GitHub. Deze vergemakkelijkt het verzamelen van open-source intelligence (OSINT) en maakt data over mogelijke kwetsbaarheden zichtbaar, zonder enig verkeer rechtstreeks naar de beoogde entiteit te sturen.
De doeltreffendheid van hun aanpakken bereiken ze door de inzet van een arsenaal aan geselecteerde open-source tools, zoals zmap voor het opsporen van kwetsbare diensten en Nuclei voor het ontdekken van schaalbare kwetsbaarheden. Dit toont aan dat CrystalRay expertise heeft in dat wat getroffen organisaties ook hadden moeten doen; gedetailleerde speuringen naar mobiele middelsen et cybergevaren.
Een veelvoorkomende last die ze toepassen is Sliver, ontworpen voor Red Team-activiteiten en veiligheidstesten. Encryptiedata-exfiltratie en bewegen door servers maken eveneens deel uit van hun modus operandi, mogelijk gemaakt door tools zoals SSH-Snake en geholpen door de verzameling van voorafgaande commando's, relatief toegankelijker gemaakt door repositories zoals all-bash-history en linux-smart-enumeration op GitHub.
Sysdig TRT heeft ook ontdekt hoe CrystalRay uitbreidt naar andere platformen, waaronder cloudproviders, waarbij de processen niet vergeven zijn van menselijke interactie, gevolgd door het rücksichtsloser doorverkopen van toegangsgegevens via kanalen uiteenlopend van het dark web tot Telegram.
Hoewel de side-business in cryptomining hen maandelijks niet meer dan $200 lijkt op te leveren, is het evident dat CrystalRay’s ambitie, net als die van bonafide organisaties, gericht is op groei en diversificatie, waarbij rivaliserende cryptominers uit hun pad worden verdrongen door het proactief verwijderen van concurrerende mining software. Het heeft er alle schijn van dat de hedendaagse cybercrimineel over een scala aan hulpmiddelen beschikt die hen jammerlijk moeilijk te traceren maken, terwijl ze gestaag hun invloed uitbreiden over de digitale frontlinies.
Aanbevolen reactie
Doe je mee?
Je kunt nu een bericht plaatsen en je later registeren. Als je al een account hebt, kun je je hier aanmelden.
Note: Your post will require moderator approval before it will be visible.