A vírusterjesztők is felnéznek a James Webb űrteleszkópra

Vírusterjesztők egy James Webb űrteleszkóp által készített fénykép mögé rejtették el a kártékony programjukat.
 

A kiberbűnözők minden lehetőséget megragadnak arra, hogy a nemkívánatos kódjaikat véka alá rejtsék, és ezáltal ne kerüljenek sem a védelmi technológiák, sem a biztonsági szakemberek látókörébe. A GO#WEBBFUSCATOR néven emlegetett alvilági kampány mögött meghúzódó kibercsoport úgy gondolta, hogy mindezt csillagászati magasságokba emeli.
 
A támadások anatómiája
 
A szóban forgó támadások során a felhasználó első körben egy Word dokumentumot kap adathalász célú elektronikus levelekben. Amennyiben ezt megnyitja, és engedélyezi a makrók futtatását, akkor a számítógépére interneten keresztül egy JPG-kiterjesztésű fájl kerül fel. Ennek a neve jelenleg OxB36F8GEEC634.jpg, de természetesen ez bármikor megváltozhat.
 
Az ártalmatlan képfájlnak kinéző állomány megjelenítésekor nem történik semmi gyanakvásra okot adó történés, ugyanis azon a James Webb által idén nyáron készített egyik felvétel jelenik meg egészen pontosan a SMACS 0723 galaxis klaszterről. Csakhogy ez a fájl korántsem csak egy fényképet rejt. Egy szövegszerkesztővel való megnyitását követően láthatóvá válik, hogy abban egy Base64 kódolással ellátott karaktersorozat is lapul egy tanúsítványnak kinéző módon. Ennek dekódolását követően (amit a makró segítségével végeznek el a csalók a háttérben) egy 64 bites, futtatható állomány tűnik fel. Ez bemásolja a károkozásokhoz szükséges kódokat a '%%localappdata%%\microsoft\vault\' mappába, valamint manipulálja a regisztrációs adatbázist. Ezt követően pedig DNS-alapú lekérdezésekkel elkezd kommunikálni a vezérlőszerverével, ahonnan utasításokat fogad.


A megjelenő kép
Forrás:Securonix 


A kép mögött lévő kód
Forrás: Securonix 
 
A Securonix biztonsági kutatói által vizsgált szerzemény nem kizárólag vizuálisan képes jól rejtőzködni a fénykép segítségével, hanem forráskód szinten is. A Golang nyelven íródott programot a felfedezésekor egyetlen VirusTotalon működő víruskereső motor sem minősítette kártékonynak.
 
A Securonix már közzétette az ártalmas program detektálásához szükséges információkat, így a szerzemény elleni védekezés jegyében érdemes naprakészen tartani a víruskeresőket. Ami pedig legalább ilyen fontos, hogy az Office állományok esetében a makrókat csak végső esetben, megfelelő körültekintés mellett szabad engedélyezni, különösen ismeretlen dokumentumok esetén.
 
Vélemények
 
  1. 4

    Súlyos sebezhetőségek kerültek napvilágra az Exim kapcsán.

  2. 4

    A Mozilla kilenc biztonsági rést foltozott be a Firefox webböngészőn.

  3. 3

    A LockBit.YJ zsarolóvírus legújabb variánsa sem kíméli a fájlokat.

 
Partnerhírek
​Céges és magánadatok ostrom alatt

Az adathalászat majdnem olyan régi, mint maga az internet, így talán azt gondoljuk, hogy már mindent tudunk róla, felismerjük az üzenet tárgysorából, a megszólításból vagy a levél megfogalmazásából.

Nyaralás: mutatjuk, hogyan előzze meg a csalásokat

A megtévesztő ingyenes utazásoktól kezdve a fiktív bérelhető lakásokig számos átverés terjed az interneten.

hirdetés
Közösség