Šta se desilo?

Bezbednosni istraživači kompanije Palo Alto Networks Unit 42 otkrili su veliku infrastrukturu za distribuciju malvera koju prate pod oznakom CL-CRI-1171.

Napadači koriste najmanje dva kanala za privlačenje žrtava. Prvi čine YouTube kanali sa sadržajem o optimizaciji igara, povećanju FPS-a, rešavanju problema sa igrama i podešavanju računara. Video sadržaj može biti stvaran i koristan, ali linkovi u opisima vode korisnike ka zlonamernim alatima i instalacionim paketima.

Drugi kanal koristi SEO poisoning, odnosno manipulaciju rezultatima internet pretrage kako bi se zlonamerni sajtovi pojavili među rezultatima kada korisnici traže legitimne programe, drajvere ili druge alate.

Oba načina distribucije vode ka istoj infrastrukturi i loaderu koji je Unit 42 nazvao OfferLoader. Istraživači smatraju da infrastruktura funkcioniše kao pay-per-install servis preko kojeg različiti kriminalci mogu da distribuiraju sopstveni malver.

Koga pogađa?

Kampanja cilja različite grupe korisnika. YouTube kanali prvenstveno privlače gejmere koji traže optimizaciju sistema, alate ili rešenja za probleme sa igrama, dok SEO kampanje ciljaju i poslovne korisnike koji traže legitimne programe ili drajvere.

Unit 42 je identifikovao 11 YouTube kanala povezanih sa kampanjom, koji su zajedno imali stotine hiljada pratilaca i milione pregleda. Nakon obaveštavanja kompanije Google, identifikovani kanali su uklonjeni.

Istraživači su pronašli više od 10.000 različitih OfferLoader uzoraka, što ukazuje da je distribuciona infrastruktura znatno veća od nekoliko analiziranih napada. Broj uzoraka nije broj zaraženih uređaja ili žrtava. Malver je pronađen i na poslovnim sistemima, uključujući sisteme organizacija iz kritične infrastrukture i državnog sektora.

Kako se zaštititi?

  • Preuzimajte softver prvenstveno sa zvaničnog sajta proizvođača ili pouzdanih prodavnica aplikacija.
  • Ne smatrajte fajl bezbednim samo zato što je link pronađen na YouTube-u ili među prvim rezultatima internet pretrage.
  • Pre pokretanja instalacionog fajla proverite izdavača, digitalni potpis i adresu sajta sa kojeg je preuzet.
  • Budite posebno oprezni sa crackovima, cheat alatima, neoficijalnim modovima i programima za navodnu optimizaciju igara.
  • Na poslovnim računarima ograničite mogućnost instaliranja neodobrenog softvera i koristite application control gde je moguće.
  • Koristite EDR ili drugo endpoint bezbednosno rešenje koje može da prepozna neuobičajeno ponašanje procesa, instalaciju servisa i izmene u browseru.
  • Ako sumnjate na infekciju, izolujte uređaj od mreže i promenite lozinke sa drugog, pouzdanog uređaja nakon bezbednosne analize kompromitovanog sistema.

Tehnički detalji

Centralni deo kampanje je OfferLoader, trojanizovani Inno Setup instalacioni paket koji služi za isporuku različitih vrsta malvera.

Unit 42 je u analiziranim infekcijama identifikovao tri nezavisna malvera koje je isti loader mogao istovremeno da instalira: Insomnia RAT, ARKTunnel i Docro Hijacker. U kasnijoj infekciji ista infrastruktura korišćena je za distribuciju potpuno drugih malvera, GCleaner i Socks5Systemz, što pokazuje da payload nije fiksan.

Insomnia RAT je backdoor koji koristi Node.js i Python komponente. Na Windows sistemima njegova instalacija pokušava da oslabi Microsoft Defender zaštitu, dodaje C:\ disk među antivirusna izuzeća i koristi zakazane zadatke kako bi se ponovo pokretao nakon restarta sistema.

ARKTunnel je ranije nedokumentovan WebSocket tunneling RAT. Njegov payload sakriven je unutar bitmap slike korišćenjem steganografije, nakon čega se malver instalira kao Windows servis sa odloženim automatskim pokretanjem. Omogućava TCP i UDP tunelovanje, kao i izvršavanje fajlova.

Docro Hijacker cilja Google Chrome i zaobilazi zaštitu Secure Preferences podešavanja. Menja podrazumevani servis za internet pretragu i instalira zlonamernu ekstenziju koja može da menja mrežne zahteve, ubacuje sadržaj u rezultate pretrage, menja affiliate linkove i preusmerava klikove korisnika.

Napadači koriste i sistem filtriranja žrtava. Linkovi sadrže identifikacione podatke o okruženju korisnika, kao što su operativni sistem, browser, izvor posete, termin pretrage i javna IP adresa. Na osnovu tih podataka infrastruktura odlučuje da li će korisniku isporučiti malver ili bezazlenu stranicu, čime se otežava automatska analiza kampanje.

Zašto je važno?

Popularnost YouTube kanala i visoka pozicija u rezultatima pretrage nisu dokaz bezbednosti ponuđenog softvera. Izveštaj ne potvrđuje žrtve u Srbiji ili regionu.

Za kompanije je rizik još veći jer samo jedan korisnik koji instalira trojanizovani program može napadaču omogućiti pristup poslovnom računaru i potencijalno otvoriti put ka drugim sistemima organizacije.

Preporuka Sajber Radara

Softver preuzimajte sa zvaničnih sajtova proizvođača i ne verujte instalacionom fajlu samo zato što ste ga pronašli preko popularnog YouTube kanala ili među prvim rezultatima internet pretrage.

Na poslovnim računarima ograničite instalaciju neodobrenih programa i koristite endpoint zaštitu koja prati neuobičajeno ponašanje, instalaciju novih servisa, zakazanih zadataka i neovlašćene izmene browsera.