SonicWall и Microsoft разкриха троянски вариант на NetExtender VPN клиент, който краде потребителски данни чрез фалшив уебсайт.
SonicWall и Microsoft Threat Intelligence алармираха за троянски вариант на VPN клиента NetExtender, който краде конфигурационни данни и идентификационни данни на потребители. Зловредният софтуер се разпространява чрез фалшив уебсайт, който наподобява официалния портал на компанията, с цел да заблуди потребителите, че изтеглят оригинален софтуер.
Как работи измамата
Модифицираната версия имитира официалната последна версия на NetExtender – v10.3.2.27, но съдържа зловреден код, който извлича чувствителна информация и я изпраща към отдалечен сървър с IP адрес 132.196.198.163, използвайки порт 8080.
Какво представлява NetExtender?
SonicWall NetExtender е SSL VPN клиент, използван за отдалечен достъп до корпоративни мрежи, особено в малки и средни предприятия. Това го прави привлекателна мишена за атакуващи, които търсят начин да придобият учетни данни на ИТ администратори, служители и подизпълнители.
Технически детайли на атаката
Изследователите идентифицират две модифицирани бинарни файлове:
-
NeService.exe– с пропусната валидационна логика, позволяваща на зловредния софтуер да заобиколи проверка на цифрови подписи; -
NetExtender.exe– с инжектиран код, който при натискане на бутона „Connect“ събира въведените данни (потребителско име, парола, домейн, IP и други) и ги изпраща към контролирания от атакуващия сървър.
Файлът не е подписан от SonicWall, но има цифров подпис от „CITYLIGHT MEDIA PRIVATE LIMITED“, което обърква потребителите и заобикаля базови механизми за защита.
Препоръки за защита
SonicWall подчертава, че официалният софтуер трябва да се изтегля само от:
Също така:
-
Избягвайте рекламирани линкове в търсачки – използвайте директни връзки;
-
Сканирайте файловете преди изпълнение с актуализиран антивирусен софтуер;
-
Не се доверявайте на съмнителни източници, включително форуми, директни съобщения, видеа в TikTok или YouTube, които предлагат връзки за изтегляне;
-
SonicWall и Microsoft Defender вече разпознават и блокират тази модификация, но други инструменти за сигурност може да не са я добавили още.
Този инцидент е поредно доказателство, че дори добре познати инструменти могат да бъдат компрометирани, ако потребителите не следват принципите за сигурност при изтегляне и инсталация на софтуер. Фалшивите VPN клиенти са особено опасни, защото атакуващите получават директен достъп до вътрешната мрежа на организацията.
