The Threat Analysis Group (TAG) by Google has identified
a new campaign that sought to infect certain security researchers
who work investigating vulnerabilities in different companies and
Organizations.
The people behind this attack use various methods
to target the researchers. To try to create credibility and
approach their target, who is the researcher, the attackers created a blog of
research and several social media profiles to interact with their
targets, all of these accounts being fake. With these profiles they published
links to their blog, various videos demonstrating supposed exploits (all fake)
and to give more visibility to the other accounts that they themselves control. The
media used by these fake researchers have been Twitter, LinkedIn,
Telegram, Discord, Keybase and emails, por el momento se conocen más de diez
perfiles utilizados por los atacantes.
Los criminales utilizarían los videos de supuestos exploits
falsos para intentar ganarse la confianza de las víctimas para posteriormente
preguntar si querían colaborar en la investigación. Los criminales compartían un
proyecto en Visual Studio a las víctimas donde estaría el código fuente para
explotar la vulnerabilidad, además de una DLL adicional que sería ejecutada una
vez se ejecute el propio proyecto. Está DLL es el malware que empezaría a
comunicarse con los dominios C2 controlados por los criminales.
Además de infectarse al ejecutar el proyecto, varios
investigadores se han visto comprometidos después de visitar el blog de los
criminales. En todos los casos donde han sido infectados vía blog, las víctimas
accedieron desde un enlace de Twittter donde accedían a un artículo alojado en blog.br0vvnn[.]io,
para poco después instalarse un servicio malicioso en el dispositivo de la víctima.
Por el momento el TAG no puede confirmar el mecanismo de compromiso,
lo que si se sabe es que las víctimas todas ejecutaban una versión de Windows
10 y Chrome actualizada y parcheada.