Κακόβουλο λογισμικό GoPIX
Το GoPIX απειλεί το λογισμικό που έχει σχεδιαστεί ειδικά για να θέτει σε κίνδυνο την πλατφόρμα άμεσων πληρωμών Pix. Ουσιαστικά, αυτό το κακόβουλο λογισμικό λειτουργεί ως κουρευτής, ανακατευθύνοντας τις συναλλαγές που πραγματοποιούνται μέσω της πλατφόρμας Pix. Επιπλέον, λειτουργεί ως συμβατικός κουρευτής, επεκτείνοντας το πεδίο εφαρμογής του ώστε να περιλαμβάνει συναλλαγές κρυπτονομισμάτων.
Το GoPIX κυκλοφορεί τουλάχιστον από τον Δεκέμβριο του 2022. Δεδομένου ότι το Pix είναι μια πλατφόρμα πληρωμών που ιδρύθηκε και εποπτεύεται από την Κεντρική Τράπεζα της Βραζιλίας (BCB), η βάση χρηστών του αποτελείται κατά κύριο λόγο από πολίτες της Βραζιλίας. Κατά συνέπεια, οι δραστηριότητες της GoPIX περιορίζονται κυρίως στο τοπίο της Βραζιλίας.
Η αλυσίδα μόλυνσης από κακόβουλο λογισμικό GoPIX
Οι μολύνσεις GoPIX προέρχονται από απειλητικούς ιστότοπους που προωθούνται μέσω παραπλανητικών διαφημίσεων, μια τεχνική γνωστή ως κακόβουλη διαφήμιση, η οποία χρησιμοποιείται συχνά σε δηλητηρίαση μηχανών αναζήτησης. Επί του παρόντος, το κακόβουλο λογισμικό αποκτάται από μία από τις δύο πηγές, με την επιλογή να εξαρτάται από το αν η συσκευή του θύματος έχει ανοιχτή τη θύρα 27275.
Το συγκεκριμένο λιμάνι συνδέεται συνήθως με ένα νόμιμο και ασφαλές τραπεζικό προϊόν. Σε περιπτώσεις όπου αυτό το λογισμικό απουσιάζει στο στοχευμένο σύστημα, ανακτάται ένα πακέτο προγράμματος εγκατάστασης NSIS, το οποίο περιέχει σενάρια PowerShell και πρόσθετα στοιχεία. Αυτό ξεκινά την αλυσίδα μόλυνσης, οδηγώντας τελικά στην ανάπτυξη του GoPIX. Ωστόσο, εάν υπάρχει το συγκεκριμένο λογισμικό, γίνεται λήψη ενός αρχείου ZIP, εντός του οποίου ένα αρχείο LNK περιέχει ένα σενάριο PowerShell που προωθεί περαιτέρω την αλυσίδα μόλυνσης.
Όπως αναφέρθηκε προηγουμένως, το GoPIX λειτουργεί ως κακόβουλο λογισμικό τύπου clipper. Αυτή η κατηγορία κακόβουλου λογισμικού παρακολουθεί τα περιεχόμενα που αντιγράφονται στο πρόχειρο (το buffer αντιγραφής-επικόλλησης) και το αντικαθιστά με διαφορετικές πληροφορίες, αλλάζοντας τελικά αυτό που έχει επικολληθεί.
Στην περίπτωση του GoPIX, σαρώνει ειδικά για μεταφορές Pix. Όταν εντοπίζει ένα αίτημα πληρωμής, παρεμβαίνει αντικαθιστώντας τα δεδομένα, ανακατευθύνοντας ουσιαστικά τη συναλλαγή στους εγκληματίες του κυβερνοχώρου. Συγκεκριμένα, οι πληροφορίες που χρησιμοποιούνται από τον εισβολέα δεν είναι ενσωματωμένες στο κακόβουλο λογισμικό, αλλά είναι ευέλικτες και ανακτώνται από έναν διακομιστή Command and Control (C&C).
Επιπλέον, το GoPIX λειτουργεί ως μηχανισμός κοπής που στοχεύει τις διευθύνσεις πορτοφολιών κρυπτονομισμάτων, μια πιο κοινή παραλλαγή. Ωστόσο, σε αυτήν την περίπτωση, οι διευθύνσεις πορτοφολιού Bitcoin και Ethereum είναι προκαθορισμένες, σε αντίθεση με τα δεδομένα Pix, τα οποία χειρίζονται δυναμικά.
Το κακόβουλο λογισμικό GoPIX θα μπορούσε να διαδοθεί μέσω δόλιων διαφημίσεων
Έχει παρατηρηθεί ότι το GoPIX διαδίδεται μέσω καμπανιών κακόβουλης διαφήμισης, που περιλαμβάνει συγκεκριμένα μια μορφή δηλητηρίασης βελτιστοποίησης μηχανών αναζήτησης (SEO). Αυτή η τακτική συνεπάγεται τον χειρισμό των κορυφαίων αποτελεσμάτων αναζήτησης, συνήθως των διαφημίσεων, που εμφανίζονται όταν ένα συγκεκριμένο ερώτημα εισάγεται σε μια μηχανή αναζήτησης. Αυτά τα τροποποιημένα αποτελέσματα ανακατευθύνουν τους χρήστες σε κακόβουλους ιστότοπους.
Σε αυτές τις περιπτώσεις, το επιλεγμένο ερώτημα αναζήτησης ήταν "WhatsApp web" και οι διαφημίσεις που παρουσιάζονταν ως κορυφαία αποτελέσματα οδήγησαν ή ξεκίνησαν αλυσίδες ανακατεύθυνσης σε κακόβουλες ιστοσελίδες. Συγκεκριμένα, οι ιστότοποι που είναι γνωστοί για τη διάδοση του GoPIX χρησιμοποιούσαν νόμιμα εργαλεία για να φιλτράρουν τους επισκέπτες τους, διασφαλίζοντας ότι μόνο οι γνήσιοι χρήστες θα μπορούσαν να έχουν πρόσβαση στο περιεχόμενο ενώ εμποδίζουν τα bots. Αυτές οι παραπλανητικές σελίδες δημιουργήθηκαν για να μοιάζουν με τον επίσημο ιστότοπο WhatsApp.
Είναι σημαντικό να αναγνωρίσουμε ότι το GoPIX μπορεί επίσης να διανεμηθεί μέσω εναλλακτικών μεθόδων. Οι τεχνικές phishing και κοινωνικής μηχανικής χρησιμοποιούνται συνήθως για τον πολλαπλασιασμό αυτού του κακόβουλου λογισμικού. Τυπικοί δρόμοι διανομής περιλαμβάνουν κρυφές λήψεις μέσω κίνησης, τη συμπερίληψη κακόβουλων συνημμένων ή συνδέσμων σε ανεπιθύμητα μηνύματα (π.χ. email, προσωπικά μηνύματα, μηνύματα κειμένου κ.λπ.), διαδικτυακές απάτες, κακόβουλη διαφήμιση, ύποπτες πηγές λήψης (όπως δωρεάν λογισμικό και δωρεάν αρχεία -πλατφόρμες φιλοξενίας, δίκτυα κοινής χρήσης peer-to-peer, κ.λπ.), παράνομα εργαλεία διάρρηξης λογισμικού και πλαστά μηνύματα ενημέρωσης λογισμικού.
