Novo malware Bumblebee usado em ataques cibernéticos

Um novo malware chamado Bumblebee é provavelmente o mais recente desenvolvimento do Conti para ataques cibernéticos. Aparentemente, ele foi projetado para substituir o backdoor BazarLoader usado para entregar cargas de ransomware.

O surgimento do Bumblebee em campanhas de phishing em março coincide com uma queda no uso do BazarLoader para entregar malware de criptografia de arquivos, dizem os pesquisadores. O BazarLoader é o trabalho dos desenvolvedores de botnet TrickBot, que forneceram acesso às redes das vítimas para ataques de ransomware. A gangue TrickBot agora está trabalhando para o Conti.

Bumblebee, um novo malware para ataques cibernéticos

Em um relatório em março (Via: BleepingComputer) sobre um agente de ameaças rastreado como “Exotic Lily” que forneceu acesso inicial para operações de ransomware Conti e Diavol, o Grupo de Análise de Ameaças do Google diz que o ator começou a soltar Bumblebee, em vez do malware BazarLoader normal, para entregar Cobalt Strike.

Eli Salem, principal caçador de ameaças e engenheiro reverso de malware da Cybereason, diz que as técnicas de implantação do Bumblebee são as mesmas do BazarLoader e do IcedID, ambos vistos no passado implantando o ransomware Conti. A Proofpoint confirma a descoberta de Salem, dizendo que eles observaram campanhas de phishing em que “o Bumblebee [foi] usado por vários atores de ameaças de crimeware observados anteriormente entregando BazaLoader e IcedID”.

A empresa também observa que “vários atores de ameaças que normalmente usam o BazaLoader em campanhas de malware fizeram a transição para o Bumblebee” para descartar o shellcode e as estruturas Cobalt Strike, Sliver e Meterpreter projetadas para avaliação de segurança da equipe vermelha. Ao mesmo tempo, o BazaLoader está ausente dos dados da Proofpoint desde fevereiro.