Новий шкідливий вміст розповсюджується через зламані сайти, як фальшивий огляд веб-переглядача

Більшість зловмисних атак покладаються на придушення користувачів для запуску пошкодженого виконуваного файлу, а інтернет-злочинці виробили багато способів зробити це. Існує нова шкідлива програма, яка робить онлайн-раунди через зламані веб-сайти, які використовують витончені перенаправлення та модифікований JavaScript для завантаження зловмисного корисного навантаження на ваш комп'ютер. Згідно з повідомленнями про Malwarebytes, існує, напевно, тисячі постраждалих сайтів.

Напад, швидше за все, розпочався наприкінці минулого року, і деякі оператори сайту почали помічати, що щось відбувалося в лютому. Сайти, які використовують системи керування вмістом WordPress, SquareSpace та Joomla, були орієнтовані на групу за такою так званою "FakeUpdates кампанією". Нападники або змінюють, або замінюють файли JavaScript на сайті, щоб націлювати відвідувачів.

Коли ви відвідуєте один із цих заражених сайтів, ви отримаєте підроблене сповіщення про оновлення (звідси і назва), яке запускає інфікування. Ви можете поцікавитися, як ця атака може з'явитися на тисячах сайтів протягом декількох місяців без виявлення до недавнього часу. Це розумна атака, яка використовує легкий контакт із відвідувачами сайту. По-перше, це лише подання підробленого оновлення один раз за IP-адресою. Повідомлення про оновлення (це перенаправлена ​​URL-адреса) тематично відповідає вашому веб-переглядачу. Тож користувачі Firefox отримують сторінку про запуск старої версії Firefox, і це ж для користувачів Chrome. Також є версія для Flash-оновлень. Стиль цих сторінок виглядає на місці.

Якщо ви потрапляєте на фальшиве оновлення, ви не отримаєте виконуваний файл. Замість цього з Dropbox надходить зловмисний файл JavaScript. URL-адреса Dropbox часто змінюється, щоб уникнути виявлення та блокування. Сценарій аналізує систему потерпілого та надає гнучким нападникам можливість доставляти фактичну завантаженість. Якщо система недостатньо приваблива, скрипт може бути вимкнений без встановлення шкідливого програмного забезпечення.

Кінцевим результатом зараження кампанією FakeUpdates є те, що у вашій системі запущено шкідливе програмне забезпечення Chtonic banking, яке є варіантом ZeusVM. Це дає зловмиснику повний контроль над системою, що включає передачу файлів та віддалений доступ.

Тепер, коли кішки з сумки, оператори сайту та системи CMS можуть почати очищення FakeUpdates від веб-сайтів. Це не пішло за одну ніч, і це може просто мутувати, щоб уникнути виявлення та повернутися пізніше. Найкращий спосіб ніколи не довіряти спливаючим вікнам, які говорять, що ви завантажуєте щось, навіть якщо вони виглядають законними. Завантажуйте лише на своїх умовах.

Читати далі