Ερευνητές ασφαλείας ανακάλυψαν μια νέα hacking εκστρατεία που στοχεύει στην εξάπλωση του Azorult malware. Οι hackers πίσω από την εκστρατεία, καταχρώνται το protonVPN, αφού παρουσιάζουν το Azorult ως ProtonVPN installer για να μολύνουν Windows υπολογιστές.
Οι ερευνητές έχουν εντοπίσει αρκετά θύματα του Azorult malware. Αυτό το κακόβουλο λογισμικό πωλείται συχνά σε ρωσικά hacking forums. Είναι ένα από τα πιο ακριβά και περιζήτητα malware γιατί προσφέρει ένα ευρύ φάσμα δυνατοτήτων.
Στη συγκεκριμένη εκστρατεία, οι hackers δημιούργησαν έναν ψεύτικο site ProtonVPN, το οποίο είναι ένα ακριβές HTTrack αντίγραφο του πραγματικού site ProtonVPN. Οι εγκληματίες καταφέρνουν να εξαπλώνουν το Azorult παρουσιάζοντάς το ως installer package για Windows υπολογιστές.
Η εκστρατεία ξεκίνησε τον Νοέμβριο του 2019 και απ’ ότι φαίνεται προέρχεται από τη Ρωσία.
Οι επιτιθέμενοι χρησιμοποιούν διάφορους φορείς μόλυνσης για να εξαπλώσουν το Azorult malware και να επηρεάσουν τα Windows συστήματα. Μια συχνή μέθοδος εξάπλωσης είναι το Malvertising.
Αν οι χρήστες επισκεφτούν το ψεύτικο site ProtonVPN και κατεβάσουν το ψεύτικο ProtonVPN installer για Windows, θα λάβουν ένα αντίγραφο του botnet Azorult.
Αφού μολυνθεί ο υπολογιστής, το Azorult αρχίζει να συλλέγει πληροφορίες του συστήματος. Στη συνέχεια, στέλνει τις κλεμμένες πληροφορίες στους επιτιθέμενους μέσω ενός command and control server που βρίσκεται στο ίδιο accounts[.]protonvpn[.]store server.
Σύμφωνα με τους ερευνητές της Kaspersky, το Azorult malware που στοχεύει Windows υπολογιστές, σχεδιάστηκε με τέτοιο τρόπο ώστε να μπορεί να κλέβει: cryptocurrencies (Electrum, Bitcoin, Etherium κ.λπ.), FTP logins και κωδικούς πρόσβασης από FileZilla, email credentials, πληροφορίες του browser (συμπεριλαμβανομένων των cookies), credentials για WinSCP, Pidgin Messenger και πολλά άλλα δεδομένα.
