Cybercriminelen richten zich steeds vaker op de transport- en logistieke sector met geavanceerde campagnes waarbij zij via remote access tools toegang verkrijgen tot systemen. Onderzoekers van cybersecuritybedrijf Proofpoint bestudeerden gedurende een maand de activiteiten van deze aanvallers, die via gecompromitteerde laadplatforms toegang krijgen tot transportbedrijven om vracht te stelen en betalingen af te romen.

De onderzoekers ontdekten dat de aanvallers na het verkrijgen van toegang meerdere remote access tools installeren, waaronder vier instanties van ScreenConnect. Dit lijkt een strategie om controle te behouden, zelfs als een van de tools wordt uitgeschakeld. Opvallend was het gebruik van een script dat automatisch een extern certificaattekendienst aanroept, waardoor alle componenten met een door Windows vertrouwd certificaat worden ondertekend. Deze ‘signing-as-a-service’ is een nieuwe tactiek die inspeelt op recente beveiligingsmaatregelen van ScreenConnect, die het gebruik van certificaten strenger controleert.

Naast het stelen van vracht richten de hackers zich ook op bredere financiële diefstal. Zo scannen zij op cryptocurrency wallets, controleren handmatig op PayPal-gegevens en gebruiken PowerShell-scripts om toegang te zoeken tot financiële instellingen, geldtransferdiensten en online boekhoudplatformen. Ook worden platforms voor vrachtbeheer en brandstofkaarten onderzocht. De aanvallers kennen de transportsector goed en benutten deze kennis om hun activiteiten te optimaliseren, maar zoeken daarnaast naar elke mogelijke manier om geld te verdienen met de geïnfecteerde systemen.

Volgens de onderzoekers is deze groep een van de meest actieve in het misbruiken van laadplatforms, maar er zijn meerdere groepen die zich op deze kwetsbare sector richten. Vooral kleine transportbedrijven met minder dan tien vrachtwagens beschikken vaak niet over voldoende cybersecuritymaatregelen, waardoor zij een aantrekkelijk doelwit vormen. Door via laadplatforms binnen te dringen, kunnen hackers meerdere bedrijven tegelijk compromitteren. Meer informatie over dit onderzoek is beschikbaar via de publicatie van Recorded Future.