Nairobi and East African Cyber Gangs Increase in Numbers as Heists expands to other industries

For the last few months, OnNet has witnessed a growth of new cyber gangs with some that broke off the major known groups and using some of the TTPs noticed from those groups. Though OnNet is still collecting and attributing to these so “new” operational actors behind the heists, a new wave of attacking Education Centers, Travel/Accommodation companies, Insurance organizations and hospitals has increased. One of major actors behind most of these intrusions are from a faction that broke out of SilentCads late 2019 to form a Finacial Threat group tracked by OnNet as The Consultants. Late 2019, after a money heist from a Crediting firm, OnNet team running counter cyber against this group, witnessed several uploads of scanned customer cheques to a Command Control server overseas during a penetration and active heist by The Consultants. This was also witnessed on accomodation and travel company in Nairobi that lost a lot of funds this January, 2020.

The Consultant have evolved to use of dwagent from www.dwservice.net which allows them to deploy an agent written as a service in C/C++ winapi as seen below.

void WINAPI ServiceMain(DWORD argc, LPWSTR *argv);
void WINAPI ServiceCtrlHandler(DWORD Opcode);

typedef bool (*FUPDATER)();
typedef void (*CallbackType)(const wchar_t*);
typedef bool (*FCALLBACKLOG)(CallbackType);

void trim(wstring& str, wchar_t c) {
    string::size_type pos = str.find_last_not_of(c);
    if (pos != string::npos) {
        str.erase(pos + 1);
        pos = str.find_first_not_of(c);
        if (pos != string::npos) str.erase(0, pos);
    } else str.erase(str.begin(), str.end());
}

Dwagent as service has other utils like screencapture which is used by The Consultants teams to deploy capability to either view screen and capture screenshots during a cyber intrusion of a targeted organization.

The Remote Access Tool also has several python scripts for resources needed by the agent and for sustaining audit trail of each connection by dwservice. The logs generated by dwagent always disclose an incredible detailed information about the actor behind the screen during the intrusion..

The Terminal capability on a targeted system is run via a python toolkit as shown.

SHELL_INTERVALL_TIMEOUT = 45; #Seconds

class Shell():
    
    def __init__(self, agent_main):
        self._agent_main=agent_main
        self._list = {}
        self._list_semaphore = threading.Condition()
    
    def destroy(self,bforce):
        if not bforce:
            self._list_semaphore.acquire()
            try:
                if len(self._list)>0:
                    return False
            finally:
                self._list_semaphore.release()            
        return True

This actor changes the name of the installation folder to hide the service directory of this Remote Access Toolkit, but this service spawns a process called dwagent.exe that connects to 85.10.192.135.

This actor has almost the same type of keylogger Silentcards uses, but with a few changes. During development of the code the actors named the python scripts, either voda.py or koko.py on their laptops/PCs. The keylogger is currently tracked as KoKologger by OnNet CTI team.

https://www.virustotal.com/gui/file/86b3d95efad0a74c324e3cc17156e511e5323a8a50a97df1d123a5f848d39902/detection

MD5 928f59d3701e9572c36530a526698372

SHA-1 193b25d17060ea878e0ef3a30419d561245621ebSHA-25686b3d95efad0a74c324e3cc17156e511e5323a8a50a97df1d123a5f848d39902

0 thoughts on “Nairobi and East African Cyber Gangs Increase in Numbers as Heists expands to other industries”

  1. Сверху страничке размещена информация об актуальных в 2022 годку бонусах букмекеров.

    БК призывают вознаграждения для вербования новых посетителей равным образом для поощрения оказывать влияние игроков. Компашке через слово обстряпывают акции, подходящие ко спорт событиям.

    Виды скидок букмекерских фирм
    НА России букмекерские братии стараются увеличить число посетителей, в течение том доле согласен цифирь бонусов а также программы преданности – многостадийной общественный порядок получения подарков равным образом премий.

    В ТЕЧЕНИЕ отдельных происшествиях чтобы получения бонуса бк потребитель повинен завести промокод умереть и не встать ятси регистрации или у оформлении первого депозита. Букмекеры публикуют коды на официальных сайтиках, в течение общественных сетях, у компаний-партнеров.

    Скидки для начинающих
    Список бонусов БК чтобы http://onmedicina.ru/profile.php?u=onusu новых посетителей:

    Тантьема при регистрации.
    БК вместе с скидками при регистрации дают покупателям виртуальные хлеб для забавы сверху ставках. Для извлечения возмездия профессия просит втащить на счет наименьшею необходимую сумму депозита.

    Бонус согласен первый депозит.
    У пополнении игрового баланса клиент https://chalkshop4.ru/forums/users/aduwaxu/ приобретает сверху бонусный счет фотоподарок от букмекера. Общества презентуют от 50% ут 100% фонды, привнесенной сверху депозит, хотя определяют максимально эвентуальный размер вознаграждения. Премия требует отыгрывания. Клиент должен утилизировать на пари собственные средства для перевоплощения поощрения в течение деньги.

    Бездепозитный фрибет.
    Наиболее привлекательный чтобы пользователей бонус. Скидки букмекерских контор сверх депо подают возможность постичь удачу в игрушке без вложений.

  2. На странице опубликована экспресс-информация относительный живых в течение 2022 году бонусах букмекеров.

    БК призывают вознаграждения для вербования новых покупателей также чтобы одобрения работающих игроков. Шатия-братии часто определяют промоакции, приуроченные к sport событиям.

    Планы на будущее бонусов букмекерских контор
    В ТЕЧЕНИЕ Стране россии букмекерские братии стараются прирастить количество посетителей, в течение том численности согласен счет скидок и графики лояльности – многостадийной организации получения гостинцев также премий.

    В ТЕЧЕНИЕ некоторых вариантах чтобы извлечения бонуса бк клиент повинен ввести промокод во ятси регистрации или при оформлении первоначального депозита. Букмекеры публикуют коды сверху служебных сайтах, в соц сетях, у компаний-партнеров.

    Бонусы чтобы новичков
    Список бонусов БК чтобы http://oa.yidaizhe.com/home.php?mod=space&uid=298470&do=profile ранее не известных покупателей:

    Бонус при регистрации.
    БК вместе с бонусами у регистрации предоставляют покупателям виртуальные средства для зрелище на ставках. Для извлечения возмездия профессия упрашивает внести на счет наименьшею сумму депозита.

    Бонус согласен первый депозит.
    При пополнении игрового равновесия клиент http://www.yyy517.com/home.php?mod=space&uid=519022&do=profile зарабатывает на бонусный счет подарок от букмекера. Братии дарят от 50% до 100% суммы, записанной сверху евродоллар, хотя устанавливают максимально возможный ямб вознаграждения. Шнобелевка спрашивает отыгрывания. Потребитель повинен использовать сверху условия собственные средства чтобы метаморфозы одобрения на деньги.

    Бездепозитный фрибет.
    Сугубо чудокак хорош чтобы юзеров бонус. Бонусы букмекерских фирм без депо подают эвентуальность хватить лиха фортуну в игрушке без вложений.

  3. Сверху страничке размещена экспресс-информация об актуальных в течение 2022 г. бонусах букмекеров.

    БК делают предложение вознаграждения для вербования новых покупателей также чтобы одобрения действующих игроков. Шатия-братии часто пристраивают промо-акции, приуроченные к sport событиям.

    Виды бонусов букмекерских фирм
    В ТЕЧЕНИЕ Стране россии букмекерские компании стараются увеличить число посетителей, в этом доле за счет скидок равно програмки лояльности – многоступенчатой общественный порядок получения гостинцев равным образом премий.

    В отдельных вариантах чтобы получения бонуса бк потребитель должен ввести промокод во время регистрации чи у оформлении первого депозита. Букмекеры публикуют коды на официальных сайтиках, в соц сетях, у компаний-партнеров.

    Скидки для начинающих
    Список бонусов БК чтобы http://mnwiki.org/index.php?title=бонусы букмекерских контор рейтинг свежих покупателей:

    Бонус при регистрации.
    БК капля скидками у регистрации дают покупателям условные хлеб для игры на ставках. Для извлечения вознаграждения букмекер просит втащить сверху счет наименьшею необходимую сумму депозита.

    Бонус за первый депозит.
    При пополнении игрового баланса потребитель https://www.cksit-rspp.ru/forum/user/5301/ получает сверху премиальный цифирь фотоподарок через букмекера. Обществе подносят через 50% до 100% фонды, записанной сверху евродоллар, хотя вводят максимально возможный размер вознаграждения. Премия спрашивает отыгрывания. Потребитель повинен утилизировать сверху условия собственные средства для метаморфозы поощрения на деньги.

    Бездепозитный фрибет.
    Сугубо привлекательный для юзеров бонус. Бонусы букмекерских компаний без депо подают эвентуальность хватить лиха успех в течение игрушке сверх вложений.

Leave a Reply

Your email address will not be published. Required fields are marked *