Ο Nick Biasini από το τμήμα ερευνών TALOS IT security της Cisco εντόπισε μια νέα καμπάνια e-mails που διανέμουν την εξελιγμένη έκδοση v3.0 του CryptoWall ransomware. Τα e-mails που εντόπισε έχουν σας θέμα την αποστολή βιογραφικού και το κακόβουλο λογισμικό που παραδίδουν φαίνεται ότι δεν μπορεί να εντοπιστεί από ορισμένα antivirus.
Να αναφέρουμε ότι διανομή των crypto-malware με τον τρόπο αυτό δεν είναι ασυνήθιστη.
Η συγκεκριμένη κακόβουλη εκστρατεία χρησιμοποιεί το γνωστό κόλπο του “RE.” Το μήνυμα ηλεκτρονικού ταχυδρομείου που αποστέλλεται στα υποψήφια θύματα έρχεται σαν να είναι απάντηση σε προηγούμενο μήνυμα. Μέσα στο e-mail, υπάρχει συνημμένο το κακόβουλο αρχείο σε ZIP που περιέχει ένα έγγραφο HTML.
Δες περισσότερα άρθρα του iGuRu.gr όταν αναζητάς ειδήσεις στην Google.
Το αρχείο ανακατευθύνει σε μια κακόβουλη ιστοσελίδα WordPress που περιέχει ένα IFRAME που ανακατευθύνει σε ένα λογαριασμό του Google Drive. Εκεί φιλοξενείται το κακόβουλο λογισμικό (CryptoWall), το οποίο είναι μεταμφιεσμένο σε αρχείο PDF. Στην πραγματικότητα είναι ένα εκτελέσιμο αρχείο (SCR) που χρησιμοποιείται για screensavers.
Ο Nick Biasini ανέλυσε την αλυσίδα μόλυνσης και ανέφερε:
“Αυτές οι επιθέσεις είναι επιτυχείς, γιατί αυτοί οι τύποι των e-mails θεωρούνται νόμιμοι. Αν κάποιος βρίσκεται στη διαδικασία πρόσληψης ή την αξιολόγηση υποψηφίων είναι πολύ πιθανό να ανοίξει τα συνημμένα και ακολουθήσει τη διαδικασία.”
Το τελικό ωφέλιμο φορτίο είναι το CryptoWall, το οποίο, παρά το γεγονός ότι καλά γνωστό στον κλάδο της ασφάλειας, παραδίδεται με μικρές παραλλαγές για αποφυγή της ανίχνευσης. Ο ερευνητής αναφέρει ότι τα hashes αλλάζουν συχνά για να επιτρέπουν μεγαλύτερα χρονικά διαστήματα απόκρυψης από τα antivirus.
Η online υπηρεσία VirusTotal, για την συγκεκριμένη εκστρατεία, εμφανίζει πολύ λίγα προϊόντα που μπορούν να ανιχνεύσουν το κακόβουλο λογισμικό και κανένα από αυτά δεν φαίνεται να αναγνωρίζει τον τύπο του.
Ωστόσο, με την δημοσίευση του ερευνητή, θα είναι σύντομα αναγνωρίσιμο με τις επόμενες ενημερώσεις των antivirus που χρησιμοποειείτε. Να μην ξεχνάμε είναι μόνο μια ελαφρώς τροποποιημένη έκδοση ransomware.
0 σχόλια
iGuRu.gr