Потребители на Windows, които наскоро са участвали във видеоконференции чрез Zoom, са станали жертва на измамна кампания, при която фалшиви ъпдейти тихо инсталират корпоративен шпионски софтуер на техните устройства. Този софтуер позволява на нападателите да наблюдават всяка активност на компютъра – включително натискания на клавиши, скрийншотове, история на браузъра, използване на приложения, съдържание на клипборда, както и имейл и файлови операции. Нито един от популярните антивирусни продукти не засича инсталацията.
Кампанията започва със създаването на фалшив сайт, имитиращ Zoom, с адрес uswebzoomus[.]com. Жертвите попадат в имитация на Zoom среща, където се появяват фалшиви участници и се чува фонов разговор, но аудиото е накъсано, а видеото закъснява. След около 10 секунди се появява предупреждение за „Network Issue“, което подтиква потребителя да изтегли ъпдейт.
Какво представлява инсталираният софтуер
Инсталационният пакет, наречен zoom_agent_x64 с размер 103.8 MB, съдържа предварително конфигуриран Teramind, софтуер, използван от компании за мониторинг на служители. В този случай агентът е настроен да комуникира със сървър под контрола на нападателите, а не на IT екипа.
Софтуерът се инсталира чрез Windows Installer, без интерактивен интерфейс и без видими икони или записи в системата, което го прави невидим за потребителя. Teramind използва специален „stealth mode“, който позволява на агентите да работят без следи, като проверява дали се изпълнява в sandbox среда и адаптира поведението си. След приключване на инсталацията временните файлове се изтриват, но агентът продължава да работи на заден план.
Защо антивирусите не го засичат
Опасността идва от това, че легитимен софтуер се използва за злонамерени цели. Антивирусните програми, които се фокусират върху познат злонамерен код, не могат да засекат инсталацията на Teramind, дори когато се използва като stalkerware.
Препоръки за защита и проверка на устройствата
Malwarebytes препоръчва на потребителите да проверят компютъра за инсталиране на Teramind чрез активиране на „Hidden items“ във File Explorer и проверка на папка C:\ProgramData\{4CEC2908-5CE4-48F0-A717-8FC833D8017A} или чрез наблюдение на текущо работещи услуги.
Всеки, който е участвал във фалшиви Zoom срещи и е „ъпдейтнал“ приложението, трябва незабавно да смени паролите на важни акаунти и да почисти устройството.
