Групата Rhysida, известна преди като Vice Society, започна нова фишинг и малуeр кампания, насочена към потребители на Microsoft Teams, Zoom и Putty. Престъпниците използват злонамерени реклами в търсачката Bing, които водят до фалшиви страници за изтегляне.

След като нищо неподозиращият потребител кликне върху бутона „Download“, неговото устройство се заразява с малуeр, наречен OysterLoader. Това е инструмент за първоначален достъп, който позволява на атакуващите да инсталират допълнителен зловреден софтуер и да останат незабелязани в системата.

„Най-новите кампании промотират реклами за Microsoft Teams и имитират официални страници за изтегляне“, посочват изследователи от Expel, които разкриха схемата.

Опасен достъп и ниска степен на засичане

OysterLoader използва криптирани компоненти, за да прикрие функциите си, което затруднява ранното откриване от антивирусни системи. Според експертите това е първата стъпка към по-дълбока мрежова компрометация, при която престъпниците могат да крадат данни в продължение на седмици или месеци.

Освен това Rhysida злоупотребява с код-подписващи сертификати на Microsoft, предназначени да гарантират, че дадени файлове идват от доверени източници.

Злоупотреба с Trusted Signing и сертификати

Групата е успяла да заобиколи защитни механизми и да използва услугата Microsoft Trusted Signing, за да подписва зловредни файлове като легитимни. Това ѝ позволява да бypcвa системите за сигурност и да увеличава мащаба на атаките си.

Само между юни и ноември тази година са били открити над 40 уникални код-подписващи сертификата, използвани от Rhysida – значително повече спрямо едва седем за същия период през миналата година.

Освен OysterLoader, Rhysida използва и друг зловреден инструмент – Latrodectus, който често е подписан със същите компрометирани сертификати.

Реакция на Microsoft и продължаваща заплаха

В отговор Microsoft анулира над 200 компрометирани сертификата, свързани с групата. Въпреки това изследователите предупреждават, че кампанията с малуър чрез реклами продължава активно и че Rhysida все още успява да намира начини да се промъкне през пропуски в контрола на сигурността.