BadSpace Backdoor
Eredeti, de kompromittált webhelyeket használnak ki a BadSpace nevű, hamis böngészőfrissítéseknek álcázott Windows backdoor terjesztésére. A támadó stratégiája több szakaszból áll, kezdve egy fertőzött weboldallal, egy Command-and-Control (C2) szerverrel, néha egy megtévesztő böngészőfrissítéssel, és végül egy JScript letöltővel, amely a hátsó ajtót az áldozat rendszerébe ülteti be.
Tartalomjegyzék
A kiberbűnözők kihasználják a feltört webhelyeket a BadSpace Backdoor terjesztésére
A folyamat egy feltört weboldallal kezdődik, amelybe beletartozhatnak a WordPress-t használók is, ahol a sérült kódot beadják. Ez a kód logikát tartalmaz annak megállapítására, hogy a látogató korábban már felkereste-e az oldalt. Az első látogatáskor a kód adatokat gyűjt az eszközről, az IP-címről, a felhasználói ügynökről és a helyről, és elküldi azokat egy előre meghatározott tartományba HTTP GET-kéréssel.
Válaszul a szerver egy hamis Google Chrome-frissítési felszólítással fedi le a weboldalt. Ez a felszólítás a rosszindulatú program közvetlen vagy JavaScript letöltőn keresztül történő eljuttatására szolgál, amely ezt követően letölti és elindítja a BadSpace-t.
A BadSpace Backdoor a tolakodó műveletek széles skáláját képes végrehajtani
A BadSpace nemcsak a homokozó elleni ellenőrzéseket hajtja végre, és az ütemezett feladatokon keresztül biztosítja a tartósságot, hanem rendszeradatokat is gyűjt. Különféle parancsokat tud végrehajtani, beleértve a képernyőképek készítését, a parancsok futtatását a cmd.exe-n keresztül, a fájlok kezelését és az ütemezett feladatok törlését.
A támadáshoz használt Command-and-Control (C2) szerverek vizsgálata során kiderült, hogy a SocGholish nevű (más néven FakeUpdates) rosszindulatú programhoz kapcsolódtak. A SocGholish egy JavaScript-alapú letöltő rosszindulatú program, amelyet hasonló módszerrel terjesztenek.
Biztonsági kutatók figyelmeztettek egyéneket és szervezeteket a feltört webhelyeken hamis böngészőfrissítési taktikákat alkalmazó kampányok felfutására. Ezek a kampányok információlopók és távoli hozzáférésű trójai RAT-ok terjesztését célozzák.
A hátsó ajtók fenyegetései súlyos következményekkel járhatnak az áldozatok számára
A backdoor rosszindulatú programok jelentős kockázatot jelentenek az áldozatok számára, és súlyos következményekkel járhatnak:
- Adatlopás : A hátsó ajtók csendben gyűjthetnek érzékeny információkat, például jelszavakat, pénzügyi adatokat, személyes dokumentumokat és szellemi tulajdont. Ezek a gyűjtött adatok különféle káros célokra felhasználhatók, beleértve a személyazonosság-lopást, a pénzügyi csalást vagy a vállalati kémkedést.
Összefoglalva, a backdoor malware fenyegetések súlyos és messzemenő következményekkel járhatnak, nemcsak az áldozat digitális eszközeire, hanem pénzügyi stabilitására, magánéletére és hírnevére is hatással lehetnek.
