ظهر إطار عمل جديد لما بعد الاستغلال يطلق عليه اسم EXFILTRATOR-22 (المعروف أيضًا باسم EX-22) بهدف نشر برامج الفدية داخل شبكات الشركة أثناء الطيران تحت الرادار.
يقول CYFIRMA في تقرير جديد إن اتساع قدراته يجعل مرحلة ما بعد التطوير قطعة من الكعكة لأي شخص يشتري الأداة.
تتضمن بعض الميزات البارزة إنشاء قذائف عكسية بامتيازات مرتفعة، وتحميل الملفات وتنزيلها، وتسجيل ضغطات المفاتيح، وتشغيل برامج الفدية لتشفير الملفات، وبدء جلسات VNC (حوسبة الشبكة الافتراضية) الحية للوصول في الوقت الفعلي.
يمكنه أيضًا النجاة من عمليات إعادة تمهيد النظام، وإجراء حركة جانبية من خلال الدودة، وعرض العمليات الجارية، وإنشاء تجزئات تشفير للملفات، واستخراج رموز المصادقة.
تقيّم شركة الأمن السيبراني بثقة معتدلة أن الممثل المسؤول عن إنشاء البرامج الضارة من شمال أو شرق أو جنوب شرق آسيا ومن المحتمل أن يكون تابعًا سابقًا لمجموعة LockBit ransomware.
تم الإعلان عن EX-22 على أنها برامج ضارة لا يمكن اكتشافها تمامًا على Telegram و YouTube، حيث تقدم أسعارًا تبلغ 1000 دولار شهريًا أو 5000 دولار للوصول مدى الحياة. يحصل المجرمون الذين يشترون المجموعة على لوحة تسجيل دخول للوصول إلى خادم EX-22 والتحكم في البرامج الضارة عن بُعد.
منذ ظهوره لأول مرة في 27 نوفمبر 2022، استمر مؤلفو البرامج الضارة في تكرار مجموعة الأدوات بميزات جديدة، مما يشير إلى التطور النشط.
ينبع الاتصال بـ LockBit 3.0 من التداخل التقني والبنية التحتية، حيث تستخدم عائلتا البرامج الضارة نفس آلية واجهة المجال لحظر حركة مرور القيادة والتحكم (C2).
نموذج ما بعد الاستغلال - إطار العمل كخدمة (PEFaaS) هو أحدث أداة متاحة للخصوم الذين يتطلعون إلى الحفاظ على وصول سري إلى الأجهزة المعرضة للخطر بمرور الوقت.
كما أنه ينضم إلى أطر أخرى مثل Manjusaka و Alchimist، بالإضافة إلى البدائل المشروعة مفتوحة المصدر مثل Cobalt Strike و Metasploit و Sliver و Empire و Brute Ratel و Havoc، والتي تم اختيارها لأغراض ضارة.