Adobe Acrobat – E-postsvindel med virus og sikre dokumenter

E-postsvindelen Adobe Acrobat - Secure Document er en ondsinnet spamkampanje som er laget for å distribuere skadelig programvare. De falske meldingene utgir seg for å være varsler fra Adobe Acrobat Sign, og forsøker å overbevise mottakerne om at de har mottatt et viktig dokument som krever deres oppmerksomhet.

Ifølge e-posten vurderer avsenderen mottakerens organisasjon for et fremtidig kontraktsprosjekt og ønsker å diskutere et potensielt samarbeid. For å gjøre meldingen mer troverdig, hevder e-posten at et sikkert dokument er tilgjengelig for gjennomgang og signering. Mottakerne advares om at dokumentet vil utløpe innen 48 timer, noe som skaper en følelse av at det haster med å presse dem til å handle uten nøye overveielse.

E-postene inneholder en knapp som vanligvis er merket «Se gjennom og signer dokument». Hvis du klikker på denne knappen, åpnes ikke et legitimt Adobe-dokument. I stedet omdirigeres brukerne til et uredelig nettsted kontrollert av nettkriminelle.

Den falske Adobe-oppdateringsfellen

Etter å ha klikket på den innebygde knappen, blir ofrene ført til et nettsted som er utformet for å ligne en offisiell Adobe Reader-side. Den falske siden hevder at den besøkendes Adobe Reader-programvare er utløpt og må oppdateres før dokumentet kan åpnes.

For å støtte dette bedraget starter nettstedet automatisk nedlastingen av en fil med navnet «ScreenConnect.ClientSetup.msi», og presenterer den som en nødvendig Adobe-oppdatering.

I realiteten har den nedlastede filen ingen forbindelse til Adobes oppdateringer. Det er et modifisert installasjonsprogram som inneholder skadelige konfigurasjoner som tjener angripernes mål. Sidens overbevisende utseende er ment å redusere mistanke og oppmuntre ofrene til å kjøre den nedlastede filen.

Hvordan skadelig programvare kompromitterer systemer

Den nedlastede MSI-filen er en trojanerisert versjon av ScreenConnect, et legitimt program for eksternt skrivebord og IT-administrasjon utviklet av ConnectWise. Selv om den originale programvaren er mye brukt av IT-fagfolk, misbruker nettkriminelle den ved å legge inn sine egne serverinnstillinger i installasjonsprogrammet.

Når den er kjørt, oppretter det modifiserte installasjonsprogrammet i stillhet en forbindelse med angriperkontrollert infrastruktur. Dette gir trusselaktørene ekstern tilgang til det kompromitterte systemet uten brukerens viten.

Med ekstern tilgang etablert, kan angripere muligens:

• Vis, kopier eller slett filer som er lagret på enheten.
• Stjel lagrede passord, økonomisk informasjon og andre sensitive data.
• Installer ytterligere skadelig programvare, inkludert ransomware og informasjonstyveri.

Fordi skadevaren fungerer som et verktøy for ekstern tilgang, kan det hende at ofrene ikke umiddelbart merker tegn på kompromittering.

Hvorfor disse e-postene er farlige

Hovedfaren med denne svindelen ligger i dens evne til å utnytte tilliten til et kjent merke. Mange brukere er kjent med Adobe Acrobat Sign-varsler og tviler kanskje ikke på ektheten av en forespørsel om dokumentdeling.

Kombinasjonen av profesjonelt utseende formatering, forretningsrelatert emne og utløpsvarsler øker sannsynligheten for at mottakerne klikker på den oppgitte lenken. Når installasjonsprogrammet er kjørt, kan angripere få omfattende kontroll over det berørte systemet, noe som potensielt kan føre til økonomiske tap, identitetstyveri, datainnbrudd eller ytterligere skadevareinfeksjoner.

Spam-e-poster som leveringsmekanismer for skadelig programvare

Ondsinnede e-postkampanjer er fortsatt en av de vanligste metodene som brukes for å distribuere skadelig programvare. Nettkriminelle er avhengige av villedende meldinger for å overtale mottakerne til enten å åpne farlige vedlegg eller besøke ondsinnede nettsteder.

Vedlegg kan være kamuflert som vanlige filer, for eksempel dokumenter, PDF-er, komprimerte arkiver eller skript. I noen tilfeller må brukere utføre ytterligere handlinger, for eksempel å aktivere makroer eller kjøring av innhold, før infeksjonsprosessen starter.

Lenker i spam-e-poster kan være like farlige. De omdirigerer ofte brukere til falske nettsteder som automatisk laster ned skadelige filer eller viser falske meldinger som oppfordrer ofrene til å installere programvare. I Adobe Acrobat - Secure Document-svindelen er infeksjonskjeden avhengig av en forfalsket Adobe-oppdateringsside som leverer et trojansk installasjonsprogram.

Tegn på at en e-post kan være svindel

Flere varseltegn kan bidra til å identifisere svindelforsøk som dette:

• Uventede forespørsler om dokumentdeling fra ukjente avsendere.
• Meldinger som skaper hastverk gjennom utløpsfrister eller advarsler.
• Forespørsler om å laste ned programvareoppdateringer fra lenker i e-poster.
• Dårlig bekreftede avsenderadresser som ikke samsvarer med den påståtte organisasjonen.
• Uventede omdirigeringer til nettsteder som ber om programvareinstallasjoner.

Å gjenkjenne disse indikatorene kan redusere risikoen for å bli offer for lignende angrep betydelig.

Hva du skal gjøre hvis installasjonsprogrammet ble utført

Alle som lastet ned og kjørte ScreenConnect.ClientSetup.msi-filen, bør anta at datamaskinen kan ha blitt kompromittert. Umiddelbar handling er avgjørende for å begrense potensiell skade.

En fullstendig systemskanning med en pålitelig og oppdatert sikkerhetsløsning bør utføres så snart som mulig. Brukere bør også vurdere å endre passord for viktige kontoer, spesielt hvis påloggingsinformasjon kan ha blitt lagret i nettlesere eller passordbehandlere på den berørte enheten. Det anbefales også å overvåke økonomiske kontoer og sensitive nettjenester for mistenkelig aktivitet.

Avsluttende tanker

E-postsvindelen Adobe Acrobat - Secure Document er en sofistikert kampanje for levering av skadelig programvare som utgir seg for å være Adobe Acrobat Sign for å lokke ofre til å laste ned et trojansk verktøy for ekstern tilgang. E-postene hevder feilaktig at et viktig dokument venter på gjennomgang og signering, mens det lenkede nettstedet presenterer en falsk Adobe Reader-oppdatering som er utformet for å installere skadelig programvare.

Mottakere bør unngå å samhandle med disse meldingene, avstå fra å laste ned filer de markedsfører, og slette dem umiddelbart. Å være årvåken når man håndterer uventede e-poster er et av de mest effektive forsvarene mot skadelig programvare og andre cybertrusler.