TeamViewer: λογισμικό κρύβει τις απομακρυσμένες συνδέσεις

iGuRu.gr > TeamViewer: λογισμικό κρύβει τις απομακρυσμένες συνδέσεις

Εντοπίστηκε μια νέα στοχευμένη επίθεση, μέσω του TeamViewer, η οποία είχε σαν στόχο την κλοπή χρηματοοικονομικών πληροφοριών από κυβερνητικούς και οικονομικούς στόχους σε όλη την Ευρώπη και όχι μόνο.

Ερευνητές της Check Point ανακοίνωσαν τη Δευτέρα ότι οι επιθέσεις απευθυνόταν ειδικά σε κυβερνητικά και οικονομικά στελέχη, καθώς και εκπρόσωπους από διάφορες πρεσβείες στην Ευρώπη, στο Νεπάλ, την Κένυα, τη Λιβερία, το Λίβανο, τη Γουιάνα και τις Βερμούδες. TeamViewer

Δες περισσότερα άρθρα του iGuRu.gr όταν αναζητάς ειδήσεις στην Google.

Το iGuRu.gr προτιμώμενη πηγή

Η επίθεση ξεκινούσε με ένα τυπικό ηλεκτρονικό μήνυμα phishing το οποίο περιείχε ένα κακόβουλο συνημμένο που ισχυρίζεται ότι ήταν ένα “άκρως απόρρητο” έγγραφο από τις Ηνωμένες Πολιτείες.

Η γραμμή θέματος ανέφερε “Πρόγραμμα Στρατιωτικής Χρηματοδότησης” και το έγγραφο .XLSM διέθετε το λογότυπο του Υπουργείου Εξωτερικών των ΗΠΑ.

Αν λοιπόν κάποιος άνοιγε το έγγραφο και ενεργοποιούσε τις μακροεντολές, έβγαιναν δύο αρχεία – ένα κανονικό πρόγραμμα AutoHotkeyU32.exe και ένα κακόβουλο TeamViewer DLL.

Το πρόγραμμα AutoHotkeyU32 χρησιμοποιούνταν για να στείλει ένα αίτημα POST στον εξυπηρετητή εντολών και ελέγχου (C&C) του εισβολέα, αλλά και να κατεβάσει περισσότερα κακόβουλα scripts που ήταν ικανά να τραβήξουν στιγμιότυπα της οθόνης του υπολογιστή στόχου, να κλέψουν πληροφορίες και στη συνέχειανα τα στείλουν στον επιτιθέμενο.

Το TeamViewer χρησιμοποιείται συχνά από επιχειρήσεις για απομακρυσμένη πρόσβαση σε Η/Υ. Ωστόσο, λόγω των δυνατοτήτων του, το λογισμικό χρησιμοποιείται επίσης και από τους απατεώνες για να αποκτήσουν πρόσβαση σε απομακρυσμένα συστήματα.

Η κακόβουλη παραλλαγή με το TeamViewer DLL διέθετε στους επιτιθέμενους τροποποιημένη λειτουργικότητα, και απόκρυψη της κάθε σύνδεσης στο TeamViewer. Έτσι τα θύματα δεν γνώριζαν ότι κάποιος ήταν συνδεδεμένος στον υπολογιστή τους.

Οι κύριοι στόχοι της συγκεκριμένης επίθεσης όπως προαναφέραμε ήταν φορείς του δημόσιου χρηματοπιστωτικού τομέα και σύμφωνα με τους ερευνητές ο επίδοξος hacker ήταν Ρώσος.

_________________