Καμπάνιες κακόβουλων διαφημίσεων με στόχο τις επιχειρήσεις

Τα τελευταία χρόνια, οι hackers στοχεύουν όλο και περισσότερο πελάτες και επιχειρήσεις με την χρήση μολυσμένου λογισμικού που διαρρέεται μέσω διαφημίσεων. Η συνταγή είναι απλή – ομάδες εγκληματιών στον κυβερνοχώρο δημιουργούν ψεύτικους ιστότοπους για υπηρεσίες και προϊόντα υψηλού ενδιαφέροντος και τους προωθούν στην κορυφή της σελίδας αποτελεσμάτων μέσω διαφημίσεων. Χρειάζεται μόνο μια αναζήτηση και ένα κλικ για να πέσει ένας χρήστης θύμα τους.

Απόδειξη αυτού είναι η σειρά επιθέσεων εναντίον σημαντικών κρυπτονομισμάτων νωρίτερα το 2023, καθώς και μια πρόσφατη σειρά περιστατικών που διερεύνησε η Bitdefender στο δεύτερο εξάμηνο του έτους. Αυτή η αναφορά βασίζεται σε μια έρευνα σχετικά με τη χρήση ενός κακόβουλου αρχείου ISO από τους κακόβουλους. Εκτός από το λογισμικό που διαφήμιζε, το κακόβουλο αρχείο ISO περιείχε ένα αρχείο ZIP που περιέχει ένα εκτελέσιμο αρχείο Python. Ένα DLL που φορτώθηκε από τη διαδικασία python.exe ορίστηκε να εκτελεί κακόβουλο κώδικα με τη μορφή ενός σταδίου του Meterpreter, δίνοντας στους εισβολείς πρόσβαση στον υπολογιστή του θύματος. Ξεκινώντας με αυτό το υποσύνολο δεικτών, οι ερευνητές της Bitdefender μπόρεσαν να εντοπίσουν περισσότερα τεχνουργήματα που σχετίζονται με την ίδια καμπάνια που φαίνεται να ξεκίνησε τουλάχιστον από τον Μάιο του 2023. Τα κακόβουλα αρχεία ISO διανεμήθηκαν χρησιμοποιώντας κακόβουλες διαφημίσεις που πλαστοπροσωπούσαν σελίδες λήψης για εφαρμογές όπως όπως AnyDesk, WinSCP, Cisco AnyConnect, Slack, TreeSize και ενδεχομένως άλλα.

Η ίδια καμπάνια φαίνεται να έχει τραβήξει την προσοχή πολλών ερευνητών ασφάλειας, και η Bitdefender επιθυμώντας να ενώσουν τις δυνάμεις τους, κοινοποιεί τα δικά της πορίσματα. Αυτή η εκστρατεία κακόβουλης διαφήμισης οδηγεί στη διάδοση της μόλυνσης μετά την αρχική επίθεση. Για όσο διάστημα μένουν στο δίκτυο του θύματος, ο πρωταρχικός στόχος των επιτιθέμενων είναι να αποκτήσουν διαπιστευτήρια, να δημιουργήσουν παρουσία σε σημαντικά συστήματα και να διεισδύσουν σε ευαίσθητα δεδομένα, με τελικό στόχο τον εκβιασμό. Παρατηρήσαμε επίσης προσπάθειες ανάπτυξης του ransomware BlackCat.

Τα ευρήματα με μια ματιά: Ένας κακόβουλος παράγοντας με προηγούμενη δράση στο έγκλημα στον κυβερνοχώρο έχει μετατοπίσει τις αρχικές του τεχνικές πρόσβασης σε διαφημίσεις μηχανών αναζήτησης για να κλέβει αναζητήσεις για επιχειρηματικές εφαρμογές όπως AnyDesk, WinSCP, Cisco AnyConnect, Slack, TreeSize και ενδεχομένως άλλα. Η έρευνά μας δείχνει ότι οι δράστες έχουν χρησιμοποιήσει με επιτυχία αυτόν τον τύπο επίθεσης από τα τέλη Μαΐου 2023. Με βάση τις πληροφορίες μας για τις απειλές, οι επιτιθέμενοι φαίνεται να επικεντρώνονται αποκλειστικά στη Βόρεια Αμερική προς το παρόν. Μέχρι τώρα, έχουμε εντοπίσει έξι οργανισμούς-στόχους στις ΗΠΑ και έναν στον Καναδά.

Indicators of Compromise

Μια ενημερωμένη λίστα των δεικτών επίθεσης (indicators of compromise) είναι διαθέσιμη στο Bitdefender Advanced Threat Intelligence. Οι μέχρι τώρα γνωστοί δείκτες είναι διαθέσιμοι στο παρακάτω whitepaper.

Κατεβάστε το αρχείο της έρευνας εδώ