Ask.com Toolbar mreža napadnuta dva puta za dva meseca

Vesti, 22.03.2017, 00:00 AM

Ask Partner Network je prošle godine kompromitovana dva puta u roku od dva meseca, a posledica je bila infekcija računara na kojima se koristi Ask.com Toolbar.

Prvi napad se dogodio krajem oktobra i početkom novembra prošle godine, a drugi napad u decembru iste godine, i to odmah pošto je APN očistio svoju mrežu.

Ovi incidenti su slični, jer su napadači otkrili kako da upadnu u APN mrežu i preotmu kontrolu nad procesom ažuriranja Ask.com Toolbara, i tako usmere korisnike ka malicioznom fajlu, što je rezultiralo instalacijom malvera na računarima.

U prvom napadu, napadači su promenili proces ažuriranja Ask.com Toolbara da bi se preuzimao i instalirao maliciozni paket ažuriranja. Napad je otkrila firma Red Canary koja je upozorila APN ali ne pre nego što su kompromitivani računari desetak korisnika.

APN je intervenisao, očistio mrežu i povukao digitalni sertifikat koji je izdat u njihovo ime, a koji su kriminalci koristili za potpis malicioznog paketa ažuriranja. APN je zatim izdao novi digitalni sertifikat za potpisivanje budućih ažuriranja.

Drugi napad otkrili su istraživači iz firme Carbon Black. Oni tvrde da su napadači nekako došli do novog digitalnog sertifikata i da su ga iskoristili za drugi maliciozni proces ažurianja.

Novi napad je počeo 16. decembra, i on je funkcionisao na sličan način kao i prethodni - korisnici su usmeravani na novo maliciozno ažuriranje. Kada se instalira, maliciozno ažuriranje je preuzimalo i instaliralo trojanca za daljinski pristup (RAT, Remote Access Tool) na računar korisnika.

Zato što Ask.com Toolbar radi sa sistemskim privilegijama, napadači nisu imali problem da pokrenu bilo koji softver i komandu.

U naredna dva sata, napadači su preuzimali nove alate na računarima žrtava. Zatim su koristili te alate da bi popisali resurse na lokalnoj mreži, ukrali lozinke iz lokalnog sistema, prelazili na druge sisteme pomoću ukradenih lozinki, i uspostavili mehanizme za budući pristup.

RAT koji je korišćen u ovom drugom napadu je bio potpisan APN sertifikatom koji je izdat posle prvog napada, što verovatno znači da su napadači imali uporište u APN mreži i pošto su inženjeri očistili servere posle prvog napada.