Rosszindulatú szoftverterjesztés keresőmotor manipulációval

A keresőmotorok elsődleges eszközként szolgálnak a felhasználók számára szoftverek kereséséhez és letöltéséhez. Az olyan alkalmazások, mint a Signal, a Line és a Gmail sem kivételek ez alól, így különösen vonzó célpontot jelentenek a fenyegető szereplők számára, akik rosszindulatú fájlokat próbálnak terjeszteni. A támadók keresőmotor optimalizációs manipulációval (SEO poisoning) hamis letöltési oldalakat jelenítenek meg a keresési eredmények között, amelyek legitim forrásoknak tűnnek, de valójában backdoort tartalmazó fájlok.

A hunt.io vizsgálata több hamis letöltési oldalt azonosított, amelyek a Signal, Line és Gmail alkalmazások nevével és arculati elemeivel visszaélő, rosszindulatú végrehajtható állományokat tartalmaznak. Minden ilyen weboldal egy zip állományt kínál letöltésre, amely egy Windows végrehajtható fájlt tartalmaz, és hasonló módon hajtja végre a fertőzést.

Az összes azonosított domain egyetlen kiszolgálón (47.243.192[.]62) található, ami központi infrastruktúrára utal a támadók részéről, nem pedig szétszórt, decentralizált terjesztési módszerre.

A Signal egy végponttól végpontig titkosított üzenetküldő alkalmazás, amelyet biztonságos kommunikációra használnak. A hamis Signal letöltési oldal a hivatalos mobil letöltési oldalt utánozza.

A Line egy különösen Japánban, Tajvanon és Délkelet-Ázsiában használt üzenetküldő platform. A két vizsgált domain-en közel azonos rosszindulatú tartalom található, azonban a letöltött zip fájl neve eltér.

A hamis Gmail oldal egy minimális bejelentkezési oldalnak tűnik, amely a felhasználónév megadására szólítja fel a felhasználót. A jelszó megadása helyett azonban az oldal egy felszólítást jelenít meg, amely szerint „Nem észlelt telepített biztonsági vezérlőket, kérjük, telepítse és próbálja újra!”. Az üzenet alatt egy letöltés gomb jelenik meg. A letöltés és a zip kicsomagolása a „Gmail Notifier Pro” nevű alkalmazás telepítését eredményezheti. A bejelentkezés valójában soha nem történik meg, az oldal csak csali a futtatható fájl terjesztésére.

A kampány többi oldalától eltérően a sigkiti[.]com nem egy adott alkalmazásnak adja ki magát. Ehelyett egy Google Translate oldalnak látszik, amelynek bármelyik pontjára kattintva egy felugró üzenet jelenik meg, amely szerint a felhasználó a Flash egy elavult verzióját használja, és a folytatás előtt frissítenie kell.

A file-ok vizsgálata:

A hamis letöltési oldalak által kínált káros fájlok működése több lépésből áll. Eltávolítja az ideiglenes fájlokat, folyamatokat injektál, biztonsági beállításokat módosít és hálózati kommunikációt végez. A fájlok dinamikus elemzése infostealer funkcionalitásra utal, a Joe Sandbox pedig „MicroClip”-ként azonosítja a kártevőt.

A felhasználó által letöltött futtatható program az Asztalról fut, és egy ideiglenes fájlt  hoz létre az %AppData%\Local\Temp könyvtárban. A .tmp file az eredeti payloadra utaló parancssori argumentummal fut le, és létrehozza az svrnezcm.exe-t, az AppData\Roaming elérési útvonalára:

C:\Users\user\AppData\Roaming\41d8a4f\a27e8d998\445c22590\e5b2cb4562\svrnezcm.exe

Ez a folyamat lesz felelős a további végrehajtásért és a rendszer módosításáért.

Az svrnezcm.exe létrehozza a WmiApSrv.exe programot, amely elindítja a PowerShellt a következő paranccsal:

„powershell -Command „Add-MpPreference -ExclusionPath »C:\«”

Ez a parancs módosítja a Windows Defender beállításait, kizárva a teljes C:\ meghajtót a vizsgálatból. Ez egy gyakori technika az észlelés megkerülésére.

Ez után a szoftver a 114.114.114[.]114[.]114 (Kína nyilvános 114DNS szolgáltatása) segítségével lekérdezi a zhzcm.star1ine[.]com címet. Majd egy TCP kapcsolatot hoz létre a 45-ös porton a 8.210.9[.]4 címmel, valószínűleg C2 kommunikáció vagy adatszivárogtatás céljából.

A támadók infrastruktúrája két, az Alibaba által hosztolt IP-címen alapul. A 47.243.192[.]62 szerveren elhelyezett domainekhez és weboldalakhoz egy Let’s Encrypt TLS-tanúsítvány tartozik, amely az ai.wenxinzhineng[.]top közös nevet viseli. A tanúsítvány az 1-es és 443-as portokat védte. A másik támadáshoz kapcsolható IP-cím (8.210.9[.]4) nem rendelkezett TLS-tanúsítvánnyal, de a 3389-es port nyitva állt, amely jellemzően távoli asztal protokollhoz (RDP) használnak.

Ez a kampány demonstrálja, hogy a támadók hogyan használják ki a keresőmotorokat rosszindulatú szoftverek terjesztésére. A fertőzés végrehajtása után a szoftver módosítja a rendszer védelmi beállításait, és hálózati kommunikációt létesít, mielőtt eltávolítaná önmagát a rendszerből.

Kapcsolódó IoC-k:

(hunt.io)

Címkék

Gmail Google Translate Line SEO poisoning Signal malware Malware otthoni kiberbiztonság szervezeti kiberbiztonság