Cửa sau BadSpace
Các trang web chính hãng nhưng bị xâm phạm đang bị khai thác để phân phối một cửa hậu Windows có tên BadSpace, được ngụy trang dưới dạng các bản cập nhật trình duyệt giả mạo. Chiến lược của kẻ tấn công bao gồm nhiều giai đoạn, bắt đầu từ một trang web bị nhiễm, máy chủ Chỉ huy và Kiểm soát (C2), đôi khi là một bản cập nhật trình duyệt lừa đảo và cuối cùng là trình tải xuống JScript để cấy cửa sau vào hệ thống của nạn nhân.
Mục lục
Tội phạm mạng khai thác các trang web bị xâm phạm để phát tán cửa hậu BadSpace
Quá trình này bắt đầu với một trang web bị xâm nhập, có thể bao gồm những trang web sử dụng WordPress, nơi mã lỗi được chèn vào. Mã này chứa logic để xác định xem trước đó khách truy cập đã truy cập trang web hay chưa. Trong lần truy cập đầu tiên, mã sẽ thu thập dữ liệu về thiết bị, địa chỉ IP, tác nhân người dùng và vị trí, gửi dữ liệu đó đến miền được xác định trước thông qua yêu cầu HTTP GET.
Đáp lại, máy chủ phủ lên trang Web một lời nhắc cập nhật Google Chrome giả mạo. Lời nhắc này đóng vai trò như một phương tiện để phân phối phần mềm độc hại trực tiếp hoặc thông qua trình tải xuống JavaScript, sau đó trình tải xuống này sẽ tải xuống và khởi chạy BadSpace.
Backdoor BadSpace có thể thực hiện nhiều hành động xâm nhập
BadSpace không chỉ thực hiện kiểm tra chống hộp cát và thiết lập tính bền vững thông qua các tác vụ đã lên lịch mà còn thu thập dữ liệu hệ thống. Nó có thể thực thi nhiều lệnh khác nhau, bao gồm chụp ảnh màn hình, chạy lệnh qua cmd.exe, thao tác với tệp và xóa các tác vụ đã lên lịch.
Cuộc điều tra về các máy chủ Command-and-Control (C2) được sử dụng trong cuộc tấn công đã tiết lộ các liên kết đến một phần mềm độc hại đã biết có tên SocGholish (còn được gọi là FakeUpdates). SocGholish là phần mềm độc hại tải xuống dựa trên JavaScript được phân phối thông qua một phương pháp tương tự.
Các nhà nghiên cứu bảo mật đã cảnh báo cả cá nhân và tổ chức về sự gia tăng các chiến dịch sử dụng chiến thuật cập nhật trình duyệt giả mạo trên các trang web bị xâm nhập. Các chiến dịch này nhằm mục đích phát tán những kẻ đánh cắp thông tin và Trojan truy cập từ xa RAT).
Các mối đe dọa cửa sau có thể dẫn đến hậu quả nghiêm trọng cho nạn nhân
Các mối đe dọa phần mềm độc hại cửa sau gây ra rủi ro đáng kể cho nạn nhân và có thể dẫn đến hậu quả nghiêm trọng:
- Trộm cắp dữ liệu : Backdoor có thể âm thầm thu thập thông tin nhạy cảm, chẳng hạn như mật khẩu, dữ liệu tài chính, tài liệu cá nhân và sở hữu trí tuệ. Dữ liệu thu thập được này có thể được sử dụng cho nhiều mục đích có hại khác nhau, bao gồm đánh cắp danh tính, gian lận tài chính hoặc gián điệp công ty.
Tóm lại, các mối đe dọa từ phần mềm độc hại cửa sau có thể gây ra hậu quả nghiêm trọng và sâu rộng, không chỉ ảnh hưởng đến tài sản kỹ thuật số của nạn nhân mà còn ảnh hưởng đến sự ổn định tài chính, quyền riêng tư và danh tiếng của họ.
