به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، گروه مجرم سایبری تی ای 558 (TA558)، بار دیگر شرکت‌های آمریکای لاتین و سازمان‌های دولتی را در یک کمپین فیشینگ گسترده با هدف نصب بدافزار ونوم رت (Venom RAT)، یک تروجان دسترسی از راه دور، هدف قرار داده است.
اولین بار توسط ایدان طراب، تحلیلگر تهدید گزارش شد که این کمپین شبکه گسترده خود را منتشر کرده و صنایعی در اسپانیا، مکزیک، ایالات متحده، کلمبیا، پرتغال، برزیل، جمهوری دومینیکن و آرژانتین را هدف قرار داده است.
اگرچه مشخص نیست که آیا یک شرکت رمزنگاری مستقر در آمریکای لاتین قربانی حمله سازماندهی شده توسط تی ای 558 شده است یا خیر، اما طراب بر گستردگی این کمپین تاکید کرد که فراتر از هتل ها و آژانس های مسافرتی است و شامل شرکت های فین تک، تولیدی و صنعتی نیز می شود.
به گفته او، آخرین زنجیره حمله از ایمیل های فیشینگ به عنوان ابزار اصلی دسترسی اولیه استفاده می کند و ونوم رت متعاقبا حذف شده است.
این سویه خاص، مشتق شده از کواسر رت (Quasar RAT)، مجهز به عملکردهایی است که امکان استخراج داده های حساس (مانند رمزهای عبور، عکس ها، سوابق مالی و غیره) و کنترل سیستم از راه دور را فراهم می کند.
گروه تی ای 558 که حداقل از سال 2018 به دلیل فعالیت‌های خود شناخته می‌شود، سابقه تمرکز بر شرکت‌های موجود در منطقه آمریکای لاتین را دارد و از طیفی از بدافزارها از جمله لودا رت (Loda RAT)، وی جی وورم (Vjw0rm) و ریونج رت (Revenge RAT) استفاده می‌کند.
در اوایل سال جاری، محققان امنیت سایبری یک ابزار فیشینگ جدید به نام کریپتو کمیلیون (CryptoChameleon) را پیدا کردند که کارمندان کمیسیون ارتباطات فدرال و کارکنان شرکت‌های رمزنگاری از جمله کوین بیس (Coinbase)، بایننس (Binance)، جمینی (Gemini)، کراکن (Kraken)، شیک پی (ShakePay) و ترزور (Trezor) را هدف قرار می‌داد.
همانطور که توسط تحلیلگران گروه امنیتی لوک اوت (Lookout) توضیح داده شده است، مهاجمان از تاکتیک‌های مهندسی اجتماعی پیچیده استفاده می‌کنند و از صفحات ثبت‌نام متقاعدکننده مقلد از صفحات معتبر اوکتا (Okta)، ارائه‌دهنده خدمات ابری، برای احراز هویت استفاده می‌کنند.
این حمله چند مرحله‌ای شامل ایمیل‌ها، پیامک‌ها و فیشینگ صوتی برای وادار کردن قربانیان به افشای اعتبارنامه‌های مهم و اطلاعات حساس، در درجه اول در ایالات متحده است.
