Οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν επαγγελματικές σελίδες και διαφημίσεις στο Facebook για να προωθήσουν ψεύτικα θέματα των Windows, τα οποία μολύνουν χρήστες με info-stealing malware.
Οι ερευνητές της Trustwave, που παρακολούθησαν τις εκστρατείες διανομής του SYS01 malware, είπαν ότι χρησιμοποιούνται και ψεύτικες λήψεις για πειρατικά παιχνίδια και λογισμικό.
Κακόβουλες διαφημίσεις στο Facebook
Οι επιτιθέμενοι βγάζουν διαφημίσεις που προωθούν θέματα των Windows, δωρεάν λήψεις παιχνιδιών και software activation cracks για δημοφιλείς εφαρμογές, προκειμένου να προσελκύσουν τους ανυποψίαστους χρήστες.
Αυτές οι διαφημίσεις προωθούνται μέσω νέων επιχειρηματικών σελίδων στο Facebook ή μέσω παραβιασμένων λογαριασμών. Οι παραβιασμένες σελίδες μετονόμαζονται, ώστε να ταιριάζουν με το θέμα της διαφήμισής τους. Η παραβίαση σελίδων επιτρέπει στους επιτιθέμενους να εκμεταλλευτούν την υπάρχουσα βάση ακολούθων.
Δείτε επίσης: Ευπάθεια του Microsoft SmartScreen χρησιμοποιείται για διανομή info-stealer malware
Η Trustwave λέει ότι οι φορείς απειλών αφαιρούν χιλιάδες διαφημίσεις για κάθε καμπάνια.
Όταν ένας χρήστης του Facebook κάνει κλικ στη διαφήμιση, μεταφέρεται σε ιστοσελίδες που φιλοξενούνται σε Google Sites ή στο True Hosting και προσποιούνται ότι είναι σελίδες λήψης για το προωθούμενο περιεχόμενο της διαφήμισης.
Οι σελίδες True Hosting χρησιμοποιούνται κυρίως για την προώθηση ενός ιστότοπου που ονομάζεται Blue-Software και υποτίθεται ότι προσφέρει δωρεάν λήψεις λογισμικού και παιχνιδιών.
Κάνοντας κλικ στα κουμπιά “Λήψη”, θα κατέβει στη συσκευή ένα αρχείο ZIP με το όνομα του συγκεκριμένου στοιχείου. Για παράδειγμα, η λήψη των ψεύτικων θεμάτων των Windows, περιέχει ένα αρχείο με το όνομα “Awesome_Themes_for_Win_10_11.zip“. Το αντίστοιχο για το Photoshop είναι “Adobe_Photoshop_2023.zip“.
Ενώ οι χρήστες μπορεί να πιστεύουν ότι λαμβάνουν μια δωρεάν εφαρμογή, παιχνίδι ή θέμα Windows, το αρχείο περιέχει στην πραγματικότητα το info-stealing malware SYS01.
Δείτε επίσης: Χρήστες Mac εκτέθηκαν σε info-stealer malware μέσω Google Ads
Όταν φορτώνεται το κύριο εκτελέσιμο αρχείο, χρησιμοποιεί DLL sideloading για να φορτώσει ένα κακόβουλο DLL, που ξεκινά τη ρύθμιση του περιβάλλοντος λειτουργίας του κακόβουλου λογισμικού. Αυτό περιλαμβάνει την εκτέλεση PowerShell scripts για την αποτροπή της εκτέλεσης του malware σε εικονικό περιβάλλον, την προσθήκη folder exclusions στο Windows Defender και τη διαμόρφωση ενός λειτουργικού περιβάλλοντος PHP για τη φόρτωση κακόβουλων PHP scripts.
Το κύριο payload του info-stealing malware SYS01 αποτελείται από PHP scripts που δημιουργούν προγραμματισμένες εργασίες για persistence και κλοπή δεδομένων από τη συσκευή.
Τα κλεμμένα δεδομένα περιλαμβάνουν cookies προγράμματος περιήγησης, credentials που είναι αποθηκευμένα στο πρόγραμμα περιήγησης, ιστορικό προγράμματος περιήγησης και cryptocurrency wallets.
Το malware κλέβει, επίσης, προσωπικές και επαγγελματικές πληροφορίες από το λογαριασμό Facebook του θύματος.
Τα κλεμμένα δεδομένα αποθηκεύονται προσωρινά στο φάκελο %Temp% πριν σταλούν στους εισβολείς.
Τα κλεμμένα cookies και οι κωδικοί πρόσβασης μπορούν αργότερα να πωληθούν σε άλλους παράγοντες απειλής ή να χρησιμοποιηθούν για την παραβίαση περαιτέρω λογαριασμών.
Η Trustwave λέει ότι οι κακόβουλες διαφημίσεις δεν περιορίζονται μόνο στο Facebook, καθώς παρόμοιοι λογαριασμοί έχουν βρεθεί και στο LinkedIn και στο YouTube.
Δείτε επίσης: Η ομάδα CoralRaider προωθεί info-stealer malware μέσω επιθέσεων
Προστασία από info-stealing malware
Οι μέθοδοι στατικής ανίχνευσης για ασφάλεια δεν είναι αρκετές για την αποφυγή malware. Μια πιο ισχυρή προσέγγιση θα πρέπει να ενσωματώνει λογισμικό προστασίας από ιούς, εξοπλισμένο με προηγμένες δυνατότητες ανάλυσης.
Η εκπαίδευση στην ασφάλεια των πληροφοριών είναι επίσης ζωτικής σημασίας. Αυτό σημαίνει ότι πρέπει να γνωρίζετε πώς να αναγνωρίζετε και να αποφεύγετε τις επιθέσεις phishing, τις οποίες οι επιτιθέμενοι συχνά χρησιμοποιούν για να εγκαταστήσουνinfo-stealing malware.
Επίσης, είναι σημαντικό να διατηρείτε το λειτουργικό σύστημα και τις εφαρμογές σας ενημερωμένες. Οι ενημερώσεις αυτές συχνά περιλαμβάνουν διορθώσεις ασφαλείας που μπορούν να προστατεύσουν τον υπολογιστή σας από τις πιο πρόσφατες απειλές.
Επίσης, μην ξεχνάτε τη χρήση firewalls και την παρακολούθηση του network traffic που θα σας βοηθήσει να εντοπίσετε άμεσα ύποπτη δραστηριότητα. Συνιστάται, ακόμα, στους χρήστες να αποφεύγουν εκτελέσιμα αρχεία που λαμβάνονται από περίεργους ιστότοπους.
Τέλος, η χρήση δυνατών κωδικών πρόσβασης και η ενεργοποίηση της διαδικασίας επαλήθευσης δύο παραγόντων μπορεί να προσφέρει επιπλέον επίπεδο προστασίας. Αυτό μπορεί να δυσκολέψει τους επιτιθέμενους να αποκτήσουν πρόσβαση στον λογαριασμό σας, ακόμη και αν καταφέρουν να κλέψουν τον κωδικό πρόσβασής σας.
Πηγή: www.bleepingcomputer.com
