BabbleLoader Malware er en snikende trussel som leverer WhiteSnake og Meduza-tyvere

Cybersikkerhetsforskere har avdekket en ny og svært unnvikende malware-laster, BabbleLoader, som blir brukt til å distribuere to beryktede familier med informasjonstjælende malware: WhiteSnake og Meduza. BabbleLoaders avanserte defensive mekanismer gjør den til en potent trussel som kan omgå antivirusløsninger og sandkassemiljøer for å levere skadelig programvare direkte inn i systemminnet.

Hvem blir målrettet?

BabbleLoader har blitt distribuert i kampanjer rettet mot både engelsk- og russisktalende personer. Det lokker først og fremst ofre gjennom to spesifikke taktikker:

• Forkle seg som sprukket programvare for å tiltrekke seg tilfeldige brukere.
• Forklædt som legitim regnskapsprogramvare for å målrette forretningsfolk, spesielt de innen finans og administrasjon.

Disse taktikkene fremhever BabbleLoaders allsidighet og den økende sofistikeringen til trusselaktører når det gjelder å skreddersy skadevare til spesifikke offerprofiler.

Den økende trusselen fra skadelig programvare-lastere

Lastere som BabbleLoader representerer det første trinnet i mange malware-angrep, og fungerer som leveringsmekanismer for løsepengeprogramvare, stjelere og andre ondsinnede nyttelaster. Deres evne til å omgå tradisjonelle forsvar stammer fra å inkorporere avanserte anti-analysefunksjoner, inkludert anti-sandboxing og anti-debugging-teknikker.

De siste årene har det sett en spredning av nye lasterfamilier – som Dolphin Loader, Emmental, FakeBat og Hijack Loader – som brukes til å levere et bredt spekter av skadelig programvare, inkludert CryptBot, Lumma Stealer, SectopRAT, SmokeLoader og Ursnif. BabbleLoaders inntreden i dette overfylte markedet er kjent for sin unike og svært unnvikende design.

Hvorfor BabbleLoader skiller seg ut

BabbleLoader bruker flere sofistikerte unnvikelsesteknikker som gjør det vanskelig å oppdage og analysere:

• Søppelkode og metamorfe transformasjoner : Disse teknikkene endrer lasterens struktur og flyt for å omgå både signaturbaserte og atferdsbaserte deteksjonssystemer.
• Kjøretidsfunksjonsoppløsning : Funksjoner løses kun under kjøretid, og omgår statiske analysemetoder.
• Crash-induserende kode : Overdreven søppelkode kan føre til at demonterings- eller dekompileringsverktøy, som IDA, Ghidra og Binary Ninja, krasjer.
• Konstant variasjon : Hver bygg av BabbleLoader har unik kode, strenger, metadata, kryptering og kontrollflyt, noe som sikrer at ikke to prøver er identiske.

Denne kontinuerlige variasjonen tvinger AI-baserte deteksjonsmodeller til å lære mønstre på nytt, noe som ofte fører til tapte deteksjoner eller falske positiver.

Hvordan fungerer BabbleLoader

I kjernen er BabbleLoaders jobb å laste inn shellcode, som dekrypterer og kjører ytterligere ondsinnet kode. Denne prosessen involverer en Donut-laster som pakker ut og distribuerer den endelige skadevarelasten, for eksempel WhiteSnake- eller Meduza-tyveren. Ved å skjerme disse nyttelastene lar BabbleLoader trusselaktører redusere ressursene som brukes på å erstatte kompromittert infrastruktur.

Bredere malwaretrender

Fremveksten av BabbleLoader faller sammen med andre nyere utviklinger i skadevareøkosystemet:

• LodaRAT : En ny kampanje detaljert av Rapid7 har avslørt oppdaterte versjoner av LodaRAT designet for å stjele informasjonskapsler og passord fra nettlesere som Microsoft Edge og Brave. LodaRAT kan også samle sensitive data, levere ytterligere skadelig programvare og gi fjernkontroll over infiserte systemer.
• Mr.Skeleton RAT : Denne skadevare, basert på njRAT, tilbyr funksjoner som keylogging, ekstern kjøring av skall, fil- og registermanipulering, og til og med ekstern tilgang til en enhets kamera.

Hva kan gjøres?

Gitt de sofistikerte unnvikelsesteknikkene som brukes av BabbleLoader og andre lastere, er det kanskje ikke tilstrekkelig med tradisjonelle antivirusløsninger alene. Organisasjoner og enkeltpersoner bør ta i bruk en flerlags tilnærming til sikkerhet som inkluderer:

• Verktøy for atferdsanalyse : For å oppdage unormal oppførsel knyttet til lastere.
• Endpoint Detection and Response (EDR) : For å overvåke og redusere mistenkelig aktivitet i sanntid.
• Opplæring av ansatte : Å gjenkjenne phishing-taktikker og unngå å laste ned programvare fra ubekreftede kilder.

Ettersom skadevarelastere fortsetter å utvikle seg, er det viktig å være årvåken og proaktiv for å hindre disse nye truslene. Oppdagelsen av BabbleLoader understreker behovet for robuste nettsikkerhetsforsvar og konstant tilpasning til taktikken til nettkriminelle.