תוכנה זדונית של TamperedChef
גורמי איום מנצלים מתקינים מזויפים המתחזים ליישומים נפוצים בקמפיין פרסום זדוני עולמי המכונה TamperedChef. משתמשים המורידים את התוכנות המזויפות הללו מתקינים בטעות תוכנות זדוניות שנועדו ליצור נוכחות במערכות שלהם ולפרוס דלת אחורית של JavaScript לגישה ובקרה מרחוק. בזמן הדיווח, הקמפיין נותר פעיל, כאשר זוהו פריטים זדוניים חדשים ותשתית קשורה עדיין פעילה.
תוכן העניינים
הנדסה חברתית וניצול אמון
המפעילים שמאחורי TamperedChef משתמשים בטכניקות של הנדסה חברתית כדי למקסם את אמון המשתמשים ולהימנע מגילוי. השיטות שלהם כוללות:
- שימוש בשמות יישומים מוכרים כדי לפתות הורדות
- פריסת קמפיינים של פרסום זדוני כדי להגיע למשתמשים באמצעות מודעות מקוונות
- שימוש בטקטיקות של קידום אתרים (SEO) כדי להופיע בתוצאות החיפוש
- חתימה על תוכנות זדוניות עם אישורים דיגיטליים מנוצלים, אשר מעניקים אווירה של לגיטימציה
תעודות מונפקות לעיתים קרובות לחברות קש הרשומות בארה"ב, פנמה ומלזיה. ככל שתעודות ישנות יותר נשללות, התוקפים רוכשים באופן רציף תעודות חדשות תחת שמות חברות שונים, תוך שמירה על מראית עין של לגיטימציה. מומחי אבטחת מידע תיארו את התשתית הזו כמאורגנת ביותר, המאפשרת ייצור קבוע של מתקינים שנראים אמינים.
משפחת תוכנות זדוניות והקשר של הקמפיין
TamperedChef הוא חלק מקמפיין גדול יותר בשם הקוד EvilAI, המשתמש בפיתיונות הקשורים לכלי ותוכנה של בינה מלאכותית (AI) להפצת תוכנות זדוניות. בעוד ש-TamperedChef עצמו הפך לשם המאומץ באופן נרחב למשפחת תוכנות הזדוניות, הוא מופיע גם כ-BaoLoader בכמה דוחות. השם TamperedChef מסייע לשמור על עקביות בין פרסומי אבטחת סייבר וזיהוי ספקים, למרות שהוא שונה מהתוכנה הזדונית המקורית של TamperedChef המוטמעת ביישום מתכון זדוני.
כיצד מתפתחת ההתקפה
תרחיש תקיפה טיפוסי כולל:
- משתמשים המחפשים עורכי PDF או מדריכי מוצר במנועי חיפוש מקבלים כתובות URL מורעלות או פרסומות זדוניות.
- לחיצה על קישורים אלה מפנה משתמשים לדומיינים ממולאים, שלעתים קרובות רשומים דרך NameCheap, מה שמבקש מהם להוריד תוכנת התקנה מזויפת.
- המתקין מבקש מהמשתמשים להסכים לתנאי הרישוי הסטנדרטיים, ולאחר מכן פותח דף תודה בכרטיסייה חדשה בדפדפן כדי לשמור על התכסיס.
המטרות הסופיות של הקמפיין נותרות לא ברורות. חלק מהגרסאות של תוכנות זדוניות מאפשרות הונאת פרסום, בעוד שאחרות ניתנות להפקת רווחים באמצעות מכירת גישה לפושעי סייבר או על ידי קצירת מידע רגיש עבור פורומים מחתרתיים.
השפעה גיאוגרפית וסקטוריאלית
טלמטריה מצביעה על כך שמשתמשים בארה"ב הם הנפגעים ביותר, עם הדבקות נוספות שדווחו בישראל, ספרד, גרמניה, הודו ואירלנד. המגזרים שנפגעו ביותר כוללים שירותי בריאות, בנייה וייצור, ככל הנראה בשל הסתמכותם התכופה על ציוד מיוחד וחיפושים מקוונים אחר מדריכים למוצרים, אותם מנצלים התוקפים.
