Sechs Monate nach der Entfernung durch Google Die Glupteba-Bande ist mit verbesserter Steuerung und noch mehr Waffen wieder im Einsatz.
Mithilfe der Blockchain können Glupteba-Hacker Ihre Wallet-Adressen, C2-Serverdetails und andere Vorgänge wiederherstellen. Obwohl dies die Aktivitäten der Bande öffentlich macht, macht es sie doch resistent gegen normale Maßnahmen durch die Strafverfolgungsbehörden.
Glupteba Hackers Wiedergeburt
Im Dezember letzten Jahres hat Google den Betrieb von Glupteba eingestellt, einem New-Age-Bedrohungsakteur, der die Bitcoin-Blockchain für seine böswilligen Operationen nutzt. Durch die Sicherstellung der Gerichtsbeschlüsse hatte Google die Kontrolle über die Botnet-Infrastruktur übernommen und sogar Klage gegen zwei russische Betreiber eingereicht.
Nun, das hielt die Betreiber nicht davon ab, einen Rückzieher zu machen, da sie nun ein überarbeitetes Botnet-System erstellt haben. Wie die Nozomi-Forscher feststellten, Die neuesten Beispiele von Glupteba enthüllten eine Reihe neuer Domänen, ein erweitertes C2 und andere Tools, um die Reichweite in der zweiten Iteration zu erhöhen.
Typischerweise greift das Botnetz Windows-Geräte an, um Kryptowährungen zu schürfen, Benutzeranmeldeinformationen zu stehlen, Proxys auf Windows-Systemen bereitzustellen und diese an andere Bedrohungsakteure zu verkaufen, um sie als private Proxys zu verwenden.
Und das alles auf der Bitcoin-Blockchain, die Glupteba verwendet, um Ihre letzte C2-Adresse, Wallet-Adressen usw. abzurufen. Obwohl jeder die auf der Blockchain stattfindenden Transaktionen sehen und untersuchen kann, ist sie ausreichend widerstandsfähig gegen Abschaltungen, da die Strafverfolgungsbehörden den privaten Bitcoin-Schlüssel zur Überwachung des Vorgangs benötigen.
Kürzlich haben Nozomi-Forscher die gesamte Blockchain und Proben gescannt, um die C2-Domänen der neuen Kampagne aufzudecken, Wallet-Adressen zu extrahieren und sogar zu versuchen, die Transaktionsnutzlast zu entschlüsseln.
Darüber hinaus identifizierten sie 15 Bitcoin-Adressen, die in vier Kampagnen verwendet wurden, die letzte stammte aus dem Juni 2022. Die Registrierungen von Domains der Glupteba-Bande sind sogar riesig, die letzte erfolgte am 22. November 2022. Da die Kampagne noch läuft, werden wir möglicherweise noch weitere Details im Prozess erfahren.
