Arctic Wolf ontdekt nieuwe aanvalscampagne die zich richt op HR-afdelingen

Arctic Wolf heeft een nieuwe aanvals­cam­pagne ontdekt die zich specifiek richt op HR-afde­lingen. De aanvals­groep, Venom Spider, benadert HR-afde­lingen met spear-phishing e‑mails en verleidt slacht­of­fers om op een link te klikken waarna een backdoor, ‘More_​eggs’, op het device van het slacht­offer wordt geplaatst. Aanval­lers kunnen deze backdoor vervol­gens gebruiken om bijvoor­beeld login­ge­ge­vens, intel­lec­tueel eigendom of beta­lings­ge­ge­vens van klanten te stelen.

Venom Spider

Venom Spider is een finan­cieel gemo­ti­veerde aanvals­groep en richtte zich voorheen op orga­ni­sa­ties die vacatures willen invullen via legitieme sites van derden, zoals LinkedIn. Sinds de pandemie heeft de groep zijn tactieken verfijnd en inge­speeld op de trend van het online werven van mede­wer­kers, waarbij ze zich specifiek richten op HR-afdelingen.

Sinds ten minste oktober 2023 heeft Venom Spider deze campagne opgevoerd en richt het zich recht­streeks op recrui­ters en HR-managers, met phis­hing­links die afkomstig lijken te zijn van werk­zoe­kenden. In werke­lijk­heid leiden deze links naar een scha­de­lijke website waar de recruiter het cv van de solli­ci­tant van een externe site kan down­lo­aden. Op deze site moet de gebruiker een CAPTCHA-vakje aanvinken, een voor­zorgs­maat­regel die de site helpt bij het omzeilen van auto­ma­ti­sche scanners. Als het slacht­offer door de CAPTCHA-test heen komt, wordt er een zip-file gedown­load, waarvan het slacht­offer denkt dat dit het cv is van de solli­ci­tant. In feite bevat het zip-bestand echter een scha­de­lijk Windows-snel­kop­pe­lings­be­stand (.lnk) en een afbeel­dings­be­stand. Het .lnk-bestand is de kwaad­aar­dige payload en het jpg-afbeel­dings­be­stand is een afleiding.

De infra­struc­tuur van de aanvaller die het .lnk-bestand uitgeeft, onder­steunt server­po­ly­mor­fisme, dat voor elke afzon­der­lijke download een nieuw kwaad­aardig .lnk-bestand genereert. Hierbij wordt de code verhuld en wordt de grootte van het bestand elke keer gewijzigd.

“Solli­ci­tanten voegen steeds vaker links toe naar hun eigen digitale portfolio als ze gaan solli­ci­teren en cyber­cri­mi­nelen zoals Venom Spider maken hier graag misbruik van. Door legitieme solli­ci­ta­ties te imiteren en het vertrouwen van HR-mede­wer­kers in een veilige werk­om­ge­ving te misbruiken, kunnen cyber­cri­mi­nelen scha­de­lijke payloads die zijn vermomd als cv’s uploaden op het device van het slacht­offer. Tenzij recrui­ters specifiek zijn getraind in het herkennen van dit soort social engi­nee­ring-aanvallen, is het voor hen niet altijd duidelijk dat ze de legi­ti­mi­teit van wat zij als echte cv-bestanden beschouwen, in twijfel moeten trekken. Aangezien we verwachten dat cyber­cri­mi­nelen de komende jaren door zullen gaan met dit soort aanvallen, is het belang­rijker dan ooit om HR-mede­wer­kers te trainen om social engi­nee­ring-aanvallen te herkennen”, zegt Ismael Valen­zuela, VP of Threat Intel­li­gence bij Arctic Wolf.

Voor meer infor­matie over de aanvals­cam­pagne van Venom Spider, ga naar: https://​arctic​wolf​.com/​r​e​s​o​u​r​c​e​s​/​b​l​o​g​/​v​e​n​o​m​-​s​p​i​d​e​r​-​u​s​e​s​-​s​e​r​v​e​r​-​s​i​d​e​-​p​o​l​y​m​o​r​p​h​i​s​m​-​t​o​-​w​e​a​v​e​-​a​-​w​e​b​-​a​r​o​u​n​d​-​v​i​c​t​ims/.