دیاگرام حمله
 

 

هنگامی که بدافزار یک رایانه را آلوده می‌کند، شروع به جمع‌آوری اطلاعات سیستم می‌کند و آن‌ها را در رجیستری ویندوز ذخیره می‌کند. این داده‌ها بعدا با AES رمزگذاری شده و توسط درخواست POST به سرور C&C ارسال می‌شوند. این بدافزار همچنین از چندین روش برای بالا بردن سطح دسترسی خود استفاده می‌کند تا مجوزهای سطح SYSTEM را بدست آورد و توابع طراحی شده برای بررسی وجود نرم‌افزارهای ضدبدافزار، دستکاری قوانین دیوارآتش و بررسی دستورات جدید سرور C&C را اجرا کند.

Glupteba دارای قابلیت درپشتی است که به مهاجمین اجازه می‌دهد تا دستگاه آلوده را به یک ربات کاوش رمزارز XMR تبدیل، فایل‌های مختلف را بارگیری و اجرا کنند، از صفحه نمایش اسکرین‌شات بگیرند و موارد مخرب دیگر انجام دهند. مولفه سارق اطلاعات بدافزار نیز می‌تواند پرونده‌ها، کوکی‌ها، گذرواژه‌ها و سایر اطلاعات را از مرورگرها دریافت کند.

ماژول مربوط به مسیریاب‌های میکروتیک این بدافزار آسیب‌پذیری CVE-۲۰۱۸-۱۴۸۴۷ را هدف قرار می‌دهد و پس از نفوذ موفق، اطلاعات احرازهویت مسیریاب را به سرور C&C ارسال می‌کند. عوامل مخرب مسیریاب مورد نفوذ را به عنوان یک پراکسی SOCKS پیکربندی می‌کنند تا ترافیک مخرب را از آن عبور دهند.

نشانه‌های آلودگی (IOC):

هش‌ها:

•   ۵۴۸۶f۰۷cccc۳۰۰dd۹۳۹b۴۹۳۶daeb۳۷b۸۳d۴c۸۱۸d۱۷۳۵۴۷۰bf۷۹۱b۶fd۱۱۲db۲۵d

•   ab۵۴f۳f۴۸۵۱aa۰۶ce۶eccafc۹۲۲f۰fba۶e۵۳۸۷bd۰۲۲۰fb۲fbd۴۵۶۳۲a۶fe۶ace۷

•   ۲۰e۹۸۳e۹۰۱۴۴c۳۸۵۹۹۶eeb۲edb۵۸۴d۶۵۴d۸۹۸c۳۴۷۲۵e۱۴۹۶۸۲۱۷۰f۸۷۰ee۱۲۸۷۰

•   ۴۶f۸d۴dcdbec۷۵۲ba۵۷a۶۸۲d۶۲۲۶۵۲۲۱e۰a۲db۶۷a۳۷b۵ccd۸۵۱dcb۴۴b۹۰۷a۳۲d

•   ۱e۷۱۹۶۵e۲۰aa۵۰df۲۱۳۷۵a۱db۰۰۳e۹۲۸۲۳abacac۱c۱۸۵۰c۲d۰۹۲۲d۴۳۴۲۰e۲d۳۰

•   ۶۹c۴۰f۹۷۱۴۰۲۹۴۵d۱۸۸a۶۶e۱fd۹۱۱۷۹۶۵fd۷c۱۱af۷۱۵۱۴e۳f۸۱۵۲a۹c۸۷۳b۶۰۰d

•   b۵۶۲ad۸c۷۴۰ba۴۵۴۹be۹c۷dc۶۹۳c۱f۷۷bd۲ba۳bac۳۳۱۲۸۷۶۹d۵a۷e۰۷۹bfdedec

•   ۰dedb۷۰۳da۸d۷aeae۵d۶f۶da۳e۳۷b۳d۳fc۴۲d۰۸۷۲b۸۴۷۰a۸۱۰۶۶a۴۴۹۱f۲۴۵۵f۲

•  ۰۷d۱ea۵c۰b۴a۱b۴۳۷d۲۱۴۶fd۹c۹۱۸d۷۲a۱۶c۲۹۵۰d۲۴d۴c۷f۱f۹۵f۸۴۰۹d۲۶۱۹b۳

دامنه‌ها و IPها:

•  ۵[.]۹[.]۱۵۷[.]۵۰

•  keepmusic[.]xyz

•  playfire[.]online

•  venoxcontrol[.]com

•  okonewacon[.]com

•  blackempirebuild[.]com

•  bigtext[.]club

•  clubhouse[.]site

•  nxtfdata[.]xyz

•  lienews[.]world

•  phonemus[.]net

•  akebad۱[.]com