Microsoft предупреди за продължаваща кампания със зловреден софтеур, която успешно овладява браузъри  и краде идентификационни данни. Малуерът, наречен Adrozek, който в своя пик успя да поеме под контрол над 30 000 устройства всеки ден, се базира на иновативна технология. На компрометирани компютри Adrozek инжектира реклами в страниците с резултати от търсачката и може да поеме контрола над  Microsoft Edge, Google Chrome, Yandex Browser и Mozilla Firefox.
Злонамереният софтуер използва  скриптове, изтеглени от сървъри, контролирани от неговите оператори, за да инжектира реклами след промяна на настройките и компонентите на отвлечения уеб браузър. „Препоръчва се на крайните потребители, които открият тази заплаха на своите устройства, да преинсталират своите браузъри“, заяви екипът на Microsoft 365 Defender Research. „Ако не бъде открит и блокиран, Adrozek добавя разширения на браузъра, модифицира конкретна DLL за всеки целеви браузър и променя настройките му, за да вмъква допълнителни, неоторизирани реклами в уеб страници, често върху легитимни реклами от търсачките.“
Въпреки че Microsoft все още не е намерил доказателства за използването на Adrozek за прокарване на зловреден софтуер върху компютрите на жертвите си чрез инжектираните реклами, това може да се случи по всяко време. Нападателите могат лесно да преминат към заразяване на целите си с допълнителни злонамерени полезни товари или да продадат своя достъп за доставка на зловреден софтуер на други банди за киберпрестъпност. „Нападателите на Adrozek обаче работят по начина, по който правят другите модификатори на браузъра, а именно да печелят чрез партньорски рекламни програми, които плащат за реферален трафик към определени уебсайтове“, добави Microsoft. „Ефектът е предвиден за потребители, търсещи определени ключови думи, неволно да кликнат върху тези вмъкнати от злонамерения софтуер реклами, които водят до свързани страници. „Нападателите печелят чрез партньорски рекламни програми, които плащат по количеството трафик, насочен към спонсорирани свързани страници.“

Стотици хиляди заразени устройства

Като цяло тази текуща кампания досега използва 159 домейни за хостване на „средно 17 300 уникални URL адреса“, които доставят над 15 300 полиморфни проби от зловреден софтуер на компрометирани устройства, което води до разполагане на стотици хиляди проби върху заразени устройства от май до септември 2020г.
Като имаме предвид, че тази масивна кампания все още е активна и се разпространява на нови компютри всеки ден, това означава, че и инфраструктурата на Adrozek все още се разширява и добавя нови хост домейни, използвани за инжектиране на нови и уникални полезни товари от злонамерен софтуер. „Инфраструктурата за разпространение също е много динамична. Някои от домейните бяха в действие само за един ден, докато други бяха активни за по-дълго, до 120 дни“, казва Microsoft. „Интересното е, че видяхме някои от домейните, разпространяващи чисти файлове като Process Explorer, вероятно опит на нападателите да подобрят репутацията на своите домейни и URL адреси и да избегнат мрежова защита.“

Възможности на Adrozek

Между май и септември 2020г. хакерите зад кампанията на Adrozek за злонамерен софтуер са заразили целите си чрез изтегляне чрез задвижване, когато са попадали на един от 159 домейни, използвани за прокарване на стотици хиляди проби на Adrozek. Като полиморфен щам на зловреден софтуер, Adrozek избягва откриването и също така улеснява операторите да внедрят огромни обеми нови проби в своята инфраструктура за доставка. „Докато много от домейните хостваха десетки хиляди URL адреси, някои от тях имаха над 100 000 уникални URL адреса, а един хостинг почти 250 000“, добави Microsoft. „Тази масивна инфраструктура отразява колко решителни са нападателите да поддържат тази кампания в действие.“ На жертвите се сервира силно замъглено злонамерено изпълнение, което се записва в папката% temp% на компютъра, двоичен файл, който по-късно изпуска и инсталира основния полезен товар, замаскиран като легитимен аудио софтуер в програмните файлове.

Какво ще направи малуерът, когато попадне в устройството на жертвата

След като бъде инсталиран на устройството, Adrozek ще започне да добавя злонамерени скриптове, които използва, за да инжектира реклами в няколко разширения, насочени към всеки от браузърите, които отвлича. Злонамереният софтуер ще изключи контролите за сигурност на Microsoft Edge и други базирани на Chromium уеб браузъри, ще изключи безопасното сърфиране и ще позволи отвлечените разширения в режим инкогнито. Той също така ще деактивира автоматичните актуализации на браузъра на заразени компютри, за да се увери, че отвлечените компоненти на браузъра не са възстановени до чиста версия. Adrozek печели постоянство, като добавя записи в системния регистър и създава нова услуга на Windows, наречена „Основна услуга“, за да може основният полезен товар на зловредния софтуер да се стартира автоматично при стартиране на системата.
В системи, в които е инсталирана Mozilla Firefox, Adrozek също ще открадне криптирани потребителски идентификационни данни от профила на Firefox на жертвите, идентификационни данни, които по-късно ще дешифрира и изпраща на своите оператори. „С тази допълнителна функция Adrozek се отличава от другите модификатори на браузъра и демонстрира, че няма такова нещо като нископриоритетни или неспешни заплахи“, заключи Microsoft. „И докато основната цел на зловредния софтуер е да инжектира реклами и да насочва трафика към определени уебсайтове, веригата за атаки включва сложно поведение, което позволява на нападателите да получат силна опора в заразеното устройство.“
Източник: По материали от Интернет
Share on facebook
Share on twitter
Share on linkedin
Share on google
Share on email

Подобни публикации

15 януари 2022

НАД 1.7 МЛН СЕКРЕТНИ ДОКУМЕНТА НА ПОЛСКАТА АРМИ...

Над 1,7 милиона класифицирани документа, свързани с всички аспекти ...
14 януари 2022

КАКВО ПРЕСТАВЛЯВАТ КВАНТОВИТЕ ИЗЧИСЛЕНИЯ

Като част от плановете си след Brexit, премиерът Борис Джонсън обяв...
8 януари 2022

КАК ДА СЕ ПРЕДПАЗИТЕ ОТ ХАКВАНЕ ПРЕЗ НОВАТА ГОДИНА

Целите, които си поставяте за  за Новата година са високи! Една от ...
7 януари 2022

ХАКЕРИ ИЗПОЛЗВАТ ВИДЕОПЛЕЙЪР, ЗА ДА КРАДАТ КРЕД...

Хакери използваха облачна видео хостинг услуга, за да извършат атак...
24 декември 2021

7 КОЛЕДНИ ИЗМАМИ

Коледа би трябвало да е време на радост и доброта, но за съжаление ...
23 декември 2021

РАЗРАБОТЧИЦИТЕ НА ВАКСИНИ СРЕЩУ COVID СА ПОДЛОЖ...

Вече повече от година, производителите на продукти за киберсигурнос...
17 декември 2021

EVIL TWIN ATTACK - КАКВО ПРЕДСТАВЛЯВА

Evil Twin Attack  е кибератака за измама, която работи, като подмам...

Мнения и коментари

(0.0)
0.0/5
{{ reviewsTotal }} Review
{{ reviewsTotal }} Reviews
{{ options.labels.newReviewButton }}
{{ userData.canReview.message }}
Бъдете социални
Share on facebook
Share on twitter
Share on linkedin
Share on google
Share on email
Още по темата
07/01/2022

ХАКЕРИ ИЗПОЛЗВАТ ВИДЕОПЛЕЙЪ...

Хакери използваха облачна видео хостинг услуга,...
23/12/2021

РАЗРАБОТЧИЦИТЕ НА ВАКСИНИ С...

Вече повече от година, производителите на...
17/12/2021

EVIL TWIN ATTACK - КАКВО ПР...

Evil Twin Attack  е кибератака за...
Последно добавени
15/01/2022

НАД 1.7 МЛН СЕКРЕТНИ ДОКУМЕ...

Над 1,7 милиона класифицирани документа, свързани...
14/01/2022

КАКВО ПРЕСТАВЛЯВАТ КВАНТОВИ...

Като част от плановете си след...
08/01/2022

КАК ДА СЕ ПРЕДПАЗИТЕ ОТ ХАК...

Целите, които си поставяте за  за...
Ключови думи