Шест различни адвокатски кантори са били обект на атаки през януари и февруари 2023 г. като част от две различни кампании за заплахи, разпространяващи щамове на зловреден софтуер GootLoader и FakeUpdates (известен още като SocGholish).

GootLoader, активен от края на 2020 г., е първостепенен даунлоудър, който е способен да доставя широк набор от вторични полезни товари, като например Cobalt Strike и рансъмуер.

Той използва по-специално отравяне на оптимизацията на търсачките (SEO), за да насочи жертвите, търсещи документи, свързани с бизнеса, към сайтове за изтегляне drive-by, които пускат зловредния софтуер JavaScript.

В кампанията, описана подробно от компанията за киберсигурност eSentire, се твърди, че извършителите са компрометирали легитимни, но уязвими уебсайтове на WordPress и са добавяли нови публикации в блогове без знанието на собствениците.

„Когато компютърният потребител навигира до една от тези злонамерени уебстраници и натисне връзката за изтегляне на предполагаемото бизнес споразумение, той несъзнателно изтегля GootLoader“, заяви през януари 2022 г. изследователят от eSentire Киган Кеплингер.

Разкритието от eSentire е най-новото от вълната атаки, които използват зареждащия зловреден софтуер Gootkit за пробив на цели.

GootLoader далеч не е единственият зловреден софтуер на JavaScript, насочен към бизнес професионалисти и служители на адвокатски кантори. Отделен набор от атаки също е включвал използването на SocGholish, който представлява програма за изтегляне, способна да пуска повече изпълними файлове.

Веригата от инфекции е още по-значима, тъй като за разпространението на зловредния софтуер се използва уебсайт, посещаван често от юридически фирми, като източник.

Друг забележителен аспект на двойното проникване се състои в отсъствието на разгръщане на софтуер за откуп, като вместо това се предпочита практическа дейност, което предполага, че хакерите може да са разнообразили обхвата си и да включват шпионски операции.

„Преди 2021 г. електронната поща беше основният вектор на инфекция, използван от опортюнистични хакери“, казва Кеплингер. От 2021 г. до 2023 г. атаките, базирани на браузъра […], непрекъснато нарастват, за да се конкурират с електронната поща като основен вектор на инфекция.“

„Това до голяма степен се дължи на GootLoader, SocGholish, SolarMarker и неотдавнашните кампании, използващи рекламите на Google, за да изплуват на първите места в резултатите от търсенето.“