Το Predasus malware επιτίθεται στη Λατινική Αμερική μέσω browser plugin.
Η Λατινική Αμερική έχει πληγεί από κυβερνοεπιθέσεις με κακόβουλα Google Chrome extensions. Οι επιτιθέμενοι στόχευσαν χρηματοπιστωτικά ιδρύματα, ιστότοπους κρατήσεων και άμεσης ανταλλαγής μηνυμάτων. Το κακόβουλο λογισμικό που χρησιμοποιήθηκε σε αυτές τις επιθέσεις ονομάστηκε Predasus.
Δείτε επίσης: CISA: Νέα προειδοποίηση σχετικά με ενεργά εκμεταλλευόμενα bugs Ivanti MobileIron
Δείτε επίσης: Πώς οι hackers εκπαιδεύουν AI chatbots για επιθέσεις phishing
Ο κακόβουλος κώδικας Predasus στοχεύει τους περιηγητές βασισμένους στο Chromium στη Λατινική Αμερική.
Αναλυτές απειλών ανακάλυψαν ένα νέο κακόβουλο λογισμικό με την ονομασία “Predasus”. Οι επιτιθέμενοι χρησιμοποιούν αυτό το λογισμικό για να εισάγουν βλαβερό κώδικα μέσω μιας επέκτασης του Chrome και χρησιμοποιούν αυτήν την μέθοδο για να επιτεθούν σε διάφορους ιστότοπους, συμπεριλαμβανομένης της web έκδοσης του WhatsApp. Ο επιτιθέμενοι εισέρχονται και εκμεταλλεύονται τις στοχευμένες ιστοσελίδες μέσω νόμιμων καναλιών για να αποθέσουν το κακόβουλο λογισμικό Predasus, δίνοντάς τους τη δυνατότητα να κλέψουν εμπιστευτικά και οικονομικά δεδομένα των χρηστών. Το Predasus εμπλέκεται σε αρκετές κακόβουλες δραστηριότητες, όπως η απόκτηση ευαίσθητων πληροφοριών όπως στοιχεία σύνδεσης, οικονομικά δεδομένα και προσωπικές πληροφορίες.
Πως λειτουργεί το Predasus;
Οι επεκτάσεις προγράμματος περιήγησης μπορούν να μολύνουν τη συσκευή σας με διάφορους τρόπους. Εκμεταλλεύονται αδυναμίες του προγράμματος περιήγησης ή του λειτουργικού συστήματος, συμπεριλαμβανομένων τεχνικών social engineering, για να αποπλανήσουν τους χρήστες να τα κατεβάσουν. Το σενάριο είναι κλασικό – ο χρήστης ανοίγει ένα συνημμένο αρχείο ηλεκτρονικού ταχυδρομείου, ένα PDF, ένα αρχείο Word ή Excel. Το συνημμένο περιέχει κακόβουλο λογισμικό που μολύνει αθόρυβα τον υπολογιστή του χρήστη και αυτόματα εκτελείται μετά τη λήψη. Το κακόβουλο λογισμικό στη συνέχεια συνδέεται με τον πρώτο διακομιστή ελέγχου και ελέγχου (C&C) και κατεβάζει αρκετά αρχεία που γράφονται σε έναν φάκελο με το όνομα “extension_chrome” στον φάκελο %APPDATA%. Αυτό τερματίζει οποιαδήποτε διαδικασία συνδεδεμένη με τον Google Chrome και δημιουργεί κακόβουλα αρχεία .LNK σε αρκετές τοποθεσίες, αντικαθιστώντας νόμιμα. Επιπλέον, η επέκταση αποκτά μερικά ακόμη permissions:
- “tabs”: Επιτρέπει στην επέκταση να έχει πρόσβαση και να τροποποιεί τα καρτέλες του προγράμματος περιήγησης και το περιεχόμενό τους.
- “background”: Επιτρέπει στην επέκταση να εκτελείται στο παρασκήνιο, ακόμα και όταν το παράθυρο αναδυόμενου παραθύρου της επέκτασης είναι κλειστό.
- “storage”: Η επέκταση επιτρέπει την αποθήκευση και ανάκτηση δεδομένων από την τοπική αποθήκευση του προγράμματος περιήγησης με βελτιωμένη ποιότητα γραφής, δομή, αναγνωσιμότητα και ευφράδεια, διατηρώντας την αρχική σημασία.
- “alarms”: Επιτρέπει στην επέκταση να προγραμματίσει εργασίες ή υπενθυμίσεις σε συγκεκριμένες ώρες.
- “cookies”: Επιτρέπει στην επέκταση να έχει πρόσβαση και να τροποποιεί τα cookies για οποιοδήποτε ιστότοπο επισκέπτεται ο χρήστης.
- “idle”: Επιτρέπει στην επέκταση να ανιχνεύει πότε το σύστημα του χρήστη είναι αδρανές (δηλαδή δεν χρησιμοποιείται ενεργά).
- “webRequest”: Επιτρέπει στην επέκταση να παρακολουθεί, να αποκλείει ή να τροποποιεί τις δικτυακές αιτήσεις που γίνονται από τον περιηγητή.
- “webRequestBlocking”: Επιτρέπει στην επέκταση να αποκλείει τις δικτυακές αιτήσεις που πραγματοποιούνται από τον περιηγητή.
- “system.display”: Επιτρέπει στην επέκταση να ανιχνεύει και να προσαρμόζει τις ρυθμίσεις εμφάνισης στο σύστημα του χρήστη.
- “http://*/*”: Επιτρέπει στην επέκταση να έχει πρόσβαση σε οποιοδήποτε ιστότοπο HTTP.
- “https://*/*”: Επιτρέπει την πρόσβαση τς επέκτασης σε οποιοδήποτε ιστότοπο με HTTPS.
- “browsingData”: Δίνει τη δυνατότητα στην επέκταση να καθαρίσει τα δεδομένα περιήγησης του χρήστη (όπως ιστορικό και προσωρινή μνήμη) για συγκεκριμένες ιστοσελίδες.
Ορισμένες από αυτές τις άδειες αποτελούν σοβαρό κίνδυνο, καθώς επιτρέπουν σε μια επέκταση να έχει πρόσβαση ή να τροποποιεί ευαίσθητα δεδομένα των χρηστών.
Δείτε επίσης: Hot Topic: Αποκαλύπτει κύμα επιθέσεων credential-stuffing
Ποια δεδομένα βρίσκονται σε κίνδυνο;
Σύμφωνα με το IBM Security Lab, το Predasus έχει παρατηρηθεί να εμπλέκεται σε πολλές κακόβουλες δραστηριότητες, συμπεριλαμβανομένης της τροποποίησης της συμπεριφοράς του προγράμματος περιήγησης και της κλοπής ευαίσθητων δεδομένων, όπως διαπιστευτήρια σύνδεσης, οικονομικές πληροφορίες και προσωπικά δεδομένα. Επιπλέον, αυτή η επίθεση χρησιμοποιεί το WhatsApp Web. Καθώς το WhatsApp είναι δημοφιλές σε ορισμένες χώρες, όπως η Βραζιλία, το Μεξικό και η Ινδία, οι επιτιθέμενοι μπορούν να αποκτήσουν αρκετά πολύτιμες πληροφορίες. Χρησιμοποιώντας μια ιστοσελίδα απάτης για πληρωμές, οι απατεώνες κλέβουν πληροφορίες πληρωμής από το θύμα, παριστάνοντας ότι πληρώνουν για μια συνδρομή. Επιπλέον, η ιστοσελίδα απάτης ζητά έναν κωδικό επιβεβαίωσης που το θύμα λαμβάνει μέσω μηνύματος κειμένου. Με αυτόν τον τρόπο, οι απατεώνες έχουν πρόσβαση στον τραπεζικό λογαριασμό του θύματος. Τελικά, οι επιτιθέμενοι πωλούν τα ληφθέντα δεδομένα στο Darknet.
Πηγή πληροφοριών: gridinsoft.com
