Hakerzy Wykorzystują Oszustwa Telefoniczne i Nowe Luki, Naruszając Bezpieczeństwo 618 Firm

Hakerzy z EncryptHub łączą taktyki inżynierii społecznej z zaawansowanymi exploitami, naruszając bezpieczeństwo ponad 600 organizacji na całym świecie.

Badacze z Trustwave SpiderLabs odkryli nową kampanię hakerską grupy EncryptHub, która łączy telefoniczne oszustwa z zaawansowanymi technicznymi sztuczkami, aby włamać się do komputerów ofiar.

Hakerzy zaczynają udając personel techniczny, wykonując bezpośrednie telefony, aby zbudować zaufanie swoich celów. Następnie przekonują ofiary, aby udzieliły im dostępu do swoich komputerów poprzez Microsoft Teams, lub zdalne połączenia pulpitu. Po połączeniu, atakujący wykonują polecenia, które tajnie pobierają złośliwe oprogramowanie.

EncryptHub, znany także jako LARVA-208 i Water Gamayun, już skompromitował 618 organizacji na całym świecie. „Inżynieria społeczna nadal jest jednym z najskuteczniejszych narzędzi w arsenale cyberprzestępcy, a powstająca grupa zagrożeń EncryptHub z chęcią z niej korzysta,” powiedzieli badacze.

Jednym z głównych błędów wykorzystywanych w tej kampanii jest podatność systemu Windows o nazwie CVE-2025-26633, znana również jako ‚MSC EvilTwin’. Umożliwia ona hakerom oszukanie systemu Windows, co skutkuje załadowaniem fałszywych plików systemowych, które uruchamiają złośliwy kod. Napastnicy wykorzystują tę lukę, aby przejąć kontrolę nad zainfekowanymi maszynami.

Hakerzy wdrażają również nowe narzędzia. Jedno z nich, nazwane ‚SilentCrystal’, ukrywa swoje złośliwe oprogramowanie w fałszywych folderach systemowych i pobiera ładunki z Brave Support, legalnej platformy pomocy przeglądarki. Inne to tzw. backdoor proxy SOCKS5, który potajemnie łączy skompromitowane komputery z centrami dowodzenia EncryptHub.

Dodatkowo, grupa stworzyła fałszywą usługę wideorozmów, rivatalk.net, w celu rozpowszechniania złośliwych instalatorów podszywających się pod oprogramowanie do konferencji. Po zainstalowaniu, uruchamia ukryte skrypty PowerShell, aby kraść dane, utrzymać dostęp i maskować ruch hakera jako normalną aktywność przeglądania.

Trustwave SpiderLabs ostrzega, że EncryptHub staje się coraz bardziej niebezpieczny, łącząc oszustwa, skradzione zaufanie i nowe złośliwe oprogramowanie. Dochodzą do wniosku, że grupa jest „dobrze zasobnym i elastycznym przeciwnikiem”, co czyni świadomość użytkowników, poprawki i szybką reakcję bardziej krytycznymi niż kiedykolwiek.