BadSpacen takaovi

Aitoja, mutta vaarantuneita verkkosivustoja käytetään hyväksi väärennetyiksi selainpäivityksiksi naamioituneen BadSpace-nimisen Windowsin takaoven levittämiseen. Hyökkääjän strategiaan kuuluu useita vaiheita, alkaen tartunnan saaneesta verkkosivustosta, Command-and-Control (C2) -palvelimesta, joskus harhaanjohtavasta selainpäivityksestä ja lopuksi JScript-latausohjelmasta takaoven asentamiseksi uhrin järjestelmään.

Kyberrikolliset hyödyntävät vaarantuneita sivustoja levittääkseen BadSpacen takaovea

Prosessi alkaa vaarantuneesta verkkosivustosta, johon voi kuulua WordPressiä käyttäviä verkkosivustoja, joille vioittunut koodi ruiskutetaan. Tämä koodi sisältää logiikkaa sen varmistamiseksi, onko vierailija aiemmin käyttänyt sivustoa. Ensimmäisellä käynnillä koodi kerää tietoja laitteesta, IP-osoitteesta, käyttäjäagentista ja sijainnista ja lähettää ne ennalta määritettyyn verkkotunnukseen HTTP GET -pyynnön kautta.

Vastauksena palvelin peittää Web-sivun väärennetyllä Google Chromen päivityskehotuksella. Tämä kehote toimii keinona toimittaa haittaohjelma suoraan tai JavaScript-latausohjelman kautta, joka lataa ja käynnistää BadSpacen.

BadSpace-takaovi voi suorittaa laajan valikoiman häiritseviä toimintoja

BadSpace ei ainoastaan suorita hiekkalaatikkotarkistuksia ja varmistaa pysyvyyden ajoitettujen tehtävien avulla, vaan myös kerää järjestelmätietoja. Se voi suorittaa erilaisia komentoja, kuten ottaa kuvakaappauksia, suorittaa komentoja cmd.exe:n kautta, käsitellä tiedostoja ja poistaa ajoitettuja tehtäviä.

Hyökkäyksessä käytettyjen Command-and-Control (C2) -palvelimien tutkiminen on paljastanut linkkejä tunnettuun SocGholish -nimiseen haittaohjelmaan (tunnetaan myös nimellä FakeUpdates). SocGholish on JavaScript-pohjainen latausohjelma, joka jaetaan samankaltaisella menetelmällä.

Tietoturvatutkijat ovat varoittaneet sekä yksityishenkilöitä että organisaatioita kampanjoiden kasvusta, joissa hyödynnetään väärennettyjä selaimen päivitystaktiikoita vaarantuneille verkkosivustoille. Näiden kampanjoiden tarkoituksena on levittää tietovarastoja ja etäkäyttötroijalaisia RAT:ita).

Takaoven uhkaukset voivat johtaa vakaviin seurauksiin uhreille

Takaoven haittaohjelmauhat aiheuttavat merkittäviä riskejä uhreille ja voivat johtaa vakaviin seurauksiin:

• Datavarkaus : Takaovet voivat hiljaa kerätä arkaluonteisia tietoja, kuten salasanoja, taloustietoja, henkilökohtaisia asiakirjoja ja immateriaalioikeuksia. Näitä kerättyjä tietoja voidaan käyttää useisiin haitallisiin tarkoituksiin, mukaan lukien identiteettivarkaudet, talouspetokset tai yritysvakoilu.

Yhteenvetona voidaan todeta, että takaoven haittaohjelmauhilla voi olla vakavia ja kauaskantoisia seurauksia, jotka eivät vaikuta pelkästään uhrin digitaaliseen omaisuuteen, vaan myös hänen taloudelliseen vakauteen, yksityisyyteen ja maineeseensa.