LuckyStrike Agent Malware richt zich op Russische IT-bedrijven in cyberaanval door ruimtepiraten

Russische IT-organisaties staan in het vizier van een onlangs ontdekte cyberdreiging, aangezien de hackersgroep Space Pirates een nieuwe golf aan aanvallen lanceert. De kwaadaardige campagne, voor het eerst ontdekt in november 2024 door Solar, de cybersecuritydivisie van het Russische Rostelecom, maakt gebruik van een voorheen onbekende malwarestam genaamd LuckyStrike Agent. Deze geavanceerde cyber-espionageoperatie, gevolgd onder de codenaam Erudite Mogwai, onderstreept een voortdurende poging om waardevolle doelen in de Russische techsector te infiltreren.

Wie zijn de ruimtepiraten?

Space Pirates is een Advanced Persistent Threat (APT) groep die bekend staat om zijn focus op cyberespionage, voornamelijk gericht op overheidsinstanties en hightechindustrieën. De groep is actief sinds ten minste 2017, met campagnes die verder reiken dan Rusland, naar landen als Georgië en Mongolië. Het deelt opmerkelijke tactische overlappingen met een andere aan China gelinkte APT-groep, Webworm, wat duidt op mogelijke banden met door de staat gesponsorde cyberactiviteiten.

Binnen de LuckyStrike Agent-aanval

Initiële intrusie en laterale beweging

Volgens Solar-onderzoekers begon de aanval met het compromitteren van een openbaar toegankelijke webservice uiterlijk in maart 2023. De aanvallers gingen voorzichtig te werk, voerden verkenningen uit en verspreidden zich geleidelijk over het netwerk gedurende een duizelingwekkende periode van 19 maanden. In november 2024 hadden ze toegang gekregen tot kritieke netwerksegmenten met betrekking tot systeembewaking.

De rol van LuckyStrike Agent

De onlangs ontdekte LuckyStrike Agent-malware is een multifunctionele .NET-backdoor die Microsoft OneDrive gebruikt voor command-and-control (C2)-communicatie. Hierdoor kunnen aanvallers heimelijk opdrachten geven en gevoelige gegevens exfiltreren terwijl ze zich mengen met legitiem netwerkverkeer.

Extra hulpmiddelen bij de aanval

Naast LuckyStrike Agent hadden Space Pirates ook de volgende medewerkers in dienst:

• Deed RAT (ShadowPad Light) – Een sluwe Trojan voor externe toegang die permanente toegang biedt.
• Modified Stowaway Proxy – Een aangepast proxy-hulpprogramma dat is geoptimaliseerd voor gecodeerde communicatie, met LZ4-compressie, XXTEA-codering en QUIC-protocolondersteuning om detectie te ontwijken.

Door Stowaway zorgvuldig aan te passen, verwijderden de aanvallers onnodige functies en veranderden ze de structuurgroottes. Dit deden ze waarschijnlijk in een poging om detectiesystemen op basis van handtekeningen te omzeilen.

Een aanhoudende en evoluerende bedreiging

APT-groepen zoals Space Pirates opereren met langetermijndoelen en houden vaak maanden of zelfs jaren toegang tot gecompromitteerde omgevingen. Hun vermogen om onopgemerkt te blijven terwijl ze hun positie gestaag uitbreiden, benadrukt het belang van continue dreigingsbewaking en proactieve cybersecurityverdedigingen.

Naarmate cyberbedreigingen evolueren, moeten organisaties een gelaagde beveiligingsaanpak hanteren, inclusief netwerksegmentatie, endpoint monitoring en regelmatige kwetsbaarheidsbeoordelingen. Het gebruik van cloudservices zoals OneDrive voor C2-bewerkingen roept ook zorgen op over traditionele beveiligingstools die bedreigingen die verborgen zijn in legitieme platforms, niet kunnen detecteren.

De Erudite Mogwai-campagne van de Space Pirates is een harde herinnering dat geen enkele organisatie immuun is voor cyberespionage. Met geavanceerde malware zoals LuckyStrike Agent en aangepaste hackingtools blijven APT-groepen hun tactieken verfijnen, waardoor vroege detectie belangrijker is dan ooit. Russische IT-bedrijven, en hightechindustrieën wereldwijd, moeten waakzaam blijven tegen dergelijke sluipende en aanhoudende bedreigingen.