ChromeLoader

Ứng dụng ChromeLoader đã được phân loại là phần mềm xâm nhập trình duyệt. Như vậy, mục tiêu của nó là kiểm soát một số cài đặt trình duyệt Web quan trọng để tạo ra lưu lượng truy cập giả tạo đến các trang được quảng cáo hoặc cung cấp các quảng cáo không mong muốn và không đáng tin cậy cho hệ thống. Các quảng cáo được liên kết với những kẻ xâm nhập trình duyệt, phần mềm quảng cáo hoặc các PUP khác (Chương trình có khả năng không mong muốn) thường quảng bá các sản phẩm phần mềm xâm nhập, trang web chơi khăm, quà tặng giả mạo, cổng lừa đảo, trò chơi người lớn đáng ngờ hoặc các trang web dành cho người lớn.

Mặc dù ChromeLoader sở hữu tất cả các khả năng chiếm quyền điều khiển trình duyệt điển hình này, nhưng nó cũng được trang bị một số tính năng nổi bật. Thông tin chi tiết về ứng dụng này đã được tiết lộ cho công chúng trong một báo cáo của các nhà nghiên cứu an ninh mạng tại Red Canary. Theo phát hiện của họ, ChromeLoader cho thấy việc sử dụng PowerShell rộng rãi.

Véc tơ lây nhiễm

Ứng dụng được phát tán dưới dạng kho lưu trữ ISO bị hỏng. Tệp ISO này được ngụy trang dưới dạng tệp thực thi đã bẻ khóa cho các trò chơi điện tử hoặc phần mềm thương mại phổ biến. Rất có thể người dùng truy cập các trang web phát tán phiên bản bẻ khóa của các sản phẩm như vậy, có thể đã tự tải xuống tệp của ChromeLoader.

Khi được thực thi, tập tin ISO sẽ được gắn trên hệ thống dưới dạng ổ CD-ROM ảo. Để duy trì ảo giác rằng nó thuộc về phần mềm hoặc trò chơi đã bẻ khóa được mong đợi, tệp chứa tệp thực thi có tên tương tự như 'CS_Installer.exe.' Bước tiếp theo trong chuỗi tấn công liên quan đến việc thực hiện lệnh PowerShell chịu trách nhiệm tìm nạp một kho lưu trữ cụ thể từ một vị trí từ xa. Sau đó, tệp lưu trữ sẽ được tải vào hệ thống dưới dạng một tiện ích mở rộng của Google Chrome. Bước cuối cùng sử dụng lại PowerShell, nhưng lần này để xóa tác vụ lịch biểu đã tạo trước đó.

Thiết bị Mac có thể bị ảnh hưởng

Các nhà điều hành ChromeLoader cũng đã thêm khả năng xâm phạm trình duyệt Safari của Apple. Luồng lây nhiễm chung vẫn không đổi, nhưng tệp ISO ban đầu đã được thay thế bằng loại tệp DMG (Apple Disk Image) phổ biến hơn trên các thiết bị hệ điều hành. Biến thể macOS cũng sử dụng tập lệnh bash để tìm nạp và giải nén tiện ích mở rộng ChromeLoader. Kẻ xâm nhập trình duyệt sẽ được đưa vào thư mục 'private / var / tmp'. Để đảm bảo tính ổn định của nó trên Mac, ChromeLoader thêm tệp 'plist' vào '/ Library / LaunchAgents.'