Malvér Ov3r_Stealer

Aktéri hrozieb využívajú falošné pracovné inzeráty na Facebooku, aby oklamali potenciálne obete, aby si nevedomky nainštalovali nový malvér pre Windows známy ako Ov3r_Stealer. Tento hrozivý softvér je špeciálne vytvorený tak, aby kradol poverenia a kryptopeňaženky a posielal zhromaždené údaje do telegramového kanála monitorovaného aktérom hrozby.

Ov3r_Stealer vykazuje širokú škálu možností vrátane extrakcie polohy na základe IP adresy, hardvérových informácií, hesiel, súborov cookie, podrobností o kreditných kartách, údajov automatického dopĺňania, rozšírení prehliadača, krypto peňaženiek, dokumentov balíka Microsoft Office a zoznamu nainštalovaného zabezpečenia. produktov na napadnutom hostiteľovi.

Hoci konečný cieľ tejto kampane zostáva nejasný, získané informácie sú pravdepodobne ponúkané na predaj iným aktérom hrozieb. Alternatívne môže Ov3r_Stealer v priebehu času prejsť aktualizáciami a potenciálne sa transformovať na zavádzač podobný QakBot , čo uľahčuje nasadenie ďalších užitočných zaťažení, ako je ransomware.

Útočný reťazec nasadzujúci malvér Ov3r_Stealer

Útok začína súborom PDF so zbraňami, ktorý sa falošne prezentuje ako dokument uložený na OneDrive. Nabáda používateľov, aby klikli na tlačidlo „Prístup k dokumentu“, ktoré je v ňom vložené. Výskumníci presne určili distribúciu tohto súboru PDF prostredníctvom klamlivého účtu na Facebooku, ktorý sa vydáva za generálneho riaditeľa Amazonu Andyho Jassyho a podvodné reklamy na Facebooku inzerujúce pozície digitálnej reklamy.

Po kliknutí na tlačidlo používatelia dostanú súbor internetovej skratky (.URL) maskovaný ako dokument DocuSign hostený v sieti Discord na doručovanie obsahu (CDN). Tento súbor skratky slúži ako cesta na doručenie súboru položky ovládacieho panela (.CPL), ktorý sa potom spustí pomocou binárneho procesu ovládacieho panela systému Windows ('control.exe').

Spustenie súboru CPL iniciuje načítanie zavádzača PowerShell ('DATA1.txt') z úložiska GitHub, čo v konečnom dôsledku vedie k spusteniu Ov3r_Stealer.

Podobnosti medzi Ov3r_Stealer a inými hrozbami škodlivého softvéru

Výskumníci v oblasti kybernetickej bezpečnosti zdôrazňujú, že aktéri hrozieb použili takmer identický infekčný reťazec na nasadenie ďalšieho zlodeja známeho ako Phemedrone Stealer, ktorý využíva zraniteľnosť obchádzania Microsoft Windows Defender SmartScreen (CVE-2023-36025, skóre CVSS: 8,8). Podobnosť sa ďalej rozširuje s využitím úložiska GitHub (nateeintanan2527) a prítomnosťou podobností na úrovni kódu medzi Ov3r_Stealer a Phemedrone. Je možné, že Phemedrone prešiel zmenou účelu a rebrandingom ako Ov3r_Stealer, pričom hlavným rozdielom je, že Phemedrone je kódovaný v C#.

Aby sa posilnilo prepojenie medzi týmito dvoma zlodejskými malvérmi, bolo pozorované, že aktér hrozby zdieľal správy o podvodníkovi Phemedrone na svojich telegramových kanáloch, aby posilnil „pouličné krédo“ ich podnikania v oblasti malware-as-a-service (MaaS).

Jedna z pozorovaných správ znie: „Môj vlastný zlodej robí titulky a predvádza svoju vyhýbavosť. Za tým stojím ja, takže som práve teraz nadšený.“ Aktéri hrozieb vyjadrujú frustráciu nad skutočnosťou, že napriek ich úsiliu udržať si všetko „v pamäti“ sa lovcom hrozieb podarilo „zvrátiť celý reťazec využívania“.

Ako sa môžete vyhnúť phishingovým útokom, ktoré prinášajú malvérové hrozby?

Vyhýbanie sa phishingovým útokom, ktoré prinášajú malvérové hrozby, si vyžaduje kombináciu ostražitosti, informovanosti a osvojenia si osvedčených postupov pre online bezpečnosť. Tu je niekoľko kľúčových krokov, ktoré môžu používatelia podniknúť, aby sa ochránili, aby sa nestali obeťou phishingových útokov:

• Buďte skeptickí voči nevyžiadaným e-mailom : Vyhnite sa otváraniu e-mailov od neznámych odosielateľov.
• Buďte opatrní, aj keď sa zdá, že e-mail pochádza zo známeho zdroja. v prípade pochybností overte e-mailovú adresu odosielateľa.
• Overenie adries URL a odkazov : Umiestnite kurzor myši na e-mailové odkazy, aby sa pred kliknutím zobrazila ukážka adresy URL.
• Overte legitímnosť webových stránok porovnaním adresy URL v e-maile s adresou oficiálnej webovej stránky.
• Skontrolujte, či obsah e-mailu neobsahuje červené príznaky : Hľadajte pravopisné a gramatické chyby, ktoré môžu naznačovať pokusy o neoprávnené získavanie údajov. Dávajte si pozor na naliehavé alebo výhražné výrazy, ktoré vás nútia okamžite konať.
• Aktualizujte a používajte bezpečnostný softvér : Udržujte svoj operačný systém, antimalvérový softvér a aplikácie aktuálne. Použite renomovaný bezpečnostný softvér na zabezpečenie ochrany pred škodlivým softvérom v reálnom čase.
• Pripravte sa a buďte informovaní : Buďte informovaní o najnovších phishingových taktikách a hrozbách škodlivého softvéru. Informujte sa o bežných indikátoroch phishingu, ako sú všeobecné pozdravy a žiadosti o citlivé informácie.
• Buďte opatrní s prílohami : Vyhnite sa otváraniu príloh z neznámych alebo neočakávaných zdrojov. Pred stiahnutím alebo otvorením príloh potvrďte legitimitu odosielateľa.
• Sledujte taktiku sociálneho inžinierstva : Buďte opatrní pri žiadostiach o citlivé informácie, najmä heslá alebo finančné podrobnosti. Overte identitu jednotlivcov alebo organizácií, ktoré zadávajú nezvyčajné požiadavky prostredníctvom dôveryhodného kanála.

Začlenením týchto praktík do vášho online správania môžete výrazne skrátiť riziko, že sa stanete obeťou phishingových útokov, ktoré prinášajú malvérové hrozby. Zostať ostražití a neustále aktualizovať svoje znalosti o osvedčených postupoch kybernetickej bezpečnosti je rozhodujúce v neustále sa vyvíjajúcom prostredí online hrozieb.