Μια νέα και ιδιαίτερα ανησυχητική εκστρατεία κυβερνοεπιθέσεων φέρνει στο προσκήνιο τους κινδύνους που κρύβονται ακόμη και πίσω από φαινομενικά αξιόπιστες διαδικτυακές υπηρεσίες. Ερευνητές κυβερνοασφάλειας αποκάλυψαν ότι χάκερ εκμεταλλεύονται το διαφημιστικό δίκτυο της Google (Google Ads) για να διανείμουν ένα προηγουμένως άγνωστο malware loader, το οποίο μεταμφιέζεται ως το δημοφιλές πρόγραμμα εγκατάστασης του Node.js.
Η καμπάνια στοχεύει κυρίως χρήστες Windows στις Ηνωμένες Πολιτείες και αποδεικνύει για ακόμη μία φορά ότι οι κυβερνοεγκληματίες δεν βασίζονται πλέον αποκλειστικά σε ύποπτα email ή κακόβουλους συνδέσμους. Αντίθετα, εκμεταλλεύονται υπηρεσίες που εκατομμύρια άνθρωποι χρησιμοποιούν καθημερινά και θεωρούν ασφαλείς.
Πώς λειτουργεί η νέα επίθεση
Η αλυσίδα μόλυνσης ξεκινά με μια απλή αναζήτηση στο Google. Ο χρήστης που αναζητά το πρόγραμμα εγκατάστασης του Node.js βλέπει ένα χορηγούμενο αποτέλεσμα, το οποίο μοιάζει απόλυτα νόμιμο. Με ένα μόνο κλικ μεταφέρεται σε μια ιστοσελίδα που έχει σχεδιαστεί ώστε να αναπαράγει σχεδόν πιστά το επίσημο περιβάλλον του Node.js.
Δείτε επίσης: vm2 Node.js: 12 κρίσιμες ευπάθειες επιτρέπουν sandbox escape
Στη συνέχεια, ο επισκέπτης ανακατευθύνεται σιωπηλά μέσω ενός ενδιάμεσου domain και καταλήγει στη λήψη ενός αρχείου εγκατάστασης που φιλοξενείται σε νόμιμη υπηρεσία αποθήκευσης cloud. Η χρήση αξιόπιστων υποδομών δυσκολεύει σημαντικά τα εργαλεία ασφαλείας να εντοπίσουν τη δραστηριότητα ως κακόβουλη.
Το αρχείο που κατεβαίνει στο σύστημα εμφανίζει έναν ψεύτικο οδηγό εγκατάστασης, δημιουργώντας την εντύπωση ότι πρόκειται για μια απολύτως φυσιολογική διαδικασία εγκατάστασης λογισμικού. Στο παρασκήνιο, όμως, ενεργοποιούνται μηχανισμοί που κατεβάζουν και εκτελούν το πραγματικό κακόβουλο φορτίο.
OXLOADER: Ένας νέος και εξαιρετικά επικίνδυνος malware loader
Οι ερευνητές της Elastic Security Labs εντόπισαν το νέο κακόβουλο λογισμικό, το οποίο παρακολουθούν με την ονομασία OXLOADER. Πρόκειται για έναν προηγμένο malware loader που μέχρι πρόσφατα δεν είχε καταγραφεί δημόσια και κατάφερε να λειτουργήσει με ιδιαίτερα χαμηλά ποσοστά ανίχνευσης από antivirus και αυτοματοποιημένα συστήματα ανάλυσης.
Ο OXLOADER δεν περιορίζεται σε απλές τεχνικές απόκρυψης. Αντιθέτως, σχεδιάστηκε εξαρχής με βασικό στόχο την αποφυγή εντοπισμού. Πριν προχωρήσει στην εκτέλεση του κακόβουλου κώδικα, πραγματοποιεί πολλαπλούς ελέγχους στο σύστημα του θύματος προκειμένου να διαπιστώσει εάν εκτελείται σε εικονικό περιβάλλον ή σε sandbox που χρησιμοποιούν οι ερευνητές ασφαλείας.
Ελέγχει χαρακτηριστικά, όπως ο αριθμός των πυρήνων του επεξεργαστή, η διαθέσιμη μνήμη RAM, η συχνότητα ανανέωσης της οθόνης, ακόμη και οι γλωσσικές ρυθμίσεις του λειτουργικού συστήματος.
Το τελικό payload είναι το CASTLESTEALER
Αφού ολοκληρωθούν οι έλεγχοι, το OXLOADER ενεργοποιεί το τελικό κακόβουλο payload, ένα infostealer με την ονομασία CASTLESTEALER. Το συγκεκριμένο κακόβουλο λογισμικό είναι κατασκευασμένο σε .NET και έχει σχεδιαστεί για την κλοπή ευαίσθητων δεδομένων από το μολυσμένο σύστημα.
Δείτε επίσης: Το Node.js διορθώνει κρίσιμες ευπάθειες
Μεταξύ των πιθανών στόχων του περιλαμβάνονται αποθηκευμένοι κωδικοί πρόσβασης, cookies περιήγησης, δεδομένα πιστοποίησης, πληροφορίες λογαριασμών και άλλα προσωπικά στοιχεία που μπορούν στη συνέχεια να αξιοποιηθούν σε περαιτέρω επιθέσεις ή να διατεθούν προς πώληση στο σκοτεινό διαδίκτυο.
Ιδιαίτερα ανησυχητικό είναι το γεγονός ότι μεγάλο μέρος της εκτέλεσης πραγματοποιείται απευθείας στη μνήμη του υπολογιστή, αφήνοντας ελάχιστα ίχνη στον σκληρό δίσκο. Η συγκεκριμένη τεχνική δυσχεραίνει ακόμη περισσότερο τον εντοπισμό και την ανάλυση της απειλής.
Γιατί οι επιθέσεις μέσω διαφημίσεων γίνονται ολοένα πιο δημοφιλείς
Οι καμπάνιες malvertising, δηλαδή η διανομή κακόβουλου λογισμικού μέσω διαδικτυακών διαφημίσεων, παρουσιάζουν εντυπωσιακή αύξηση τα τελευταία χρόνια. Οι επιτιθέμενοι γνωρίζουν ότι οι περισσότεροι χρήστες εμπιστεύονται τα πρώτα αποτελέσματα μιας αναζήτησης και σπάνια ελέγχουν προσεκτικά τη διεύθυνση του ιστότοπου που επισκέπτονται.
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η περίπτωση του ψεύτικου Node.js installer δείχνει ότι ακόμη και οι προγραμματιστές ή οι τεχνικά καταρτισμένοι χρήστες μπορούν να πέσουν θύματα μιας προσεκτικά σχεδιασμένης επίθεσης. Το γεγονός ότι οι χάκερ αξιοποίησαν νόμιμες υπηρεσίες cloud και κατασκευασμένες ιστοσελίδες που μιμούνται πιστά το αυθεντικό περιβάλλον αυξάνει σημαντικά την αποτελεσματικότητα της απάτης.
Δείτε επίσης: vm2 Node.js: Ευπάθεια “sandbox escape” επιτρέπει εκτέλεση κώδικα
Πώς μπορούν να προστατευθούν οι χρήστες
Οι ειδικοί συνιστούν ιδιαίτερη προσοχή κατά τη λήψη λογισμικού από το διαδίκτυο. Οι χρήστες θα πρέπει να αποφεύγουν τα χορηγούμενα αποτελέσματα όταν αναζητούν εργαλεία ανάπτυξης και να πραγματοποιούν λήψεις αποκλειστικά από τις επίσημες ιστοσελίδες των προμηθευτών.
Παράλληλα, η ενεργή προστασία endpoint, οι ενημερωμένες λύσεις ασφαλείας και η υιοθέτηση πρακτικών ψηφιακής επιφυλακής παραμένουν κρίσιμοι παράγοντες απέναντι σε απειλές που γίνονται ολοένα πιο εξελιγμένες και εκμεταλλεύονται την ίδια την εμπιστοσύνη των χρηστών στο οικοσύστημα του διαδικτύου.
