Hakovani sajtovi inficiraju posetioce novim Windows backdoorom BadSpace

Opisi virusa, 18.06.2024, 11:30 AM

Hakovani veb sajtovi se koriste za isporuku Windows backdoora pod nazivom BadSpace pod maskom lažnih ažuriranja pretraživača.

Napadači koriste „višestepeni lanac napada koji uključuje zaraženi veb sajt, server za komandu i kontrolu (C2), u nekim slučajevima lažno ažuriranje pretraživača i JScript program za preuzimanje da bi postavili backdoor u sistem žrtve“, navodi se u izveštaju nemačke kompanija za sajber bezbednost G DATA.

Detalje o malveru prvi su podelili istraživači kevross33 i Gi7w0rm prošlog meseca.

Napad počinje na hakovanim veb sajtovima, uključujući i WordPress sajtove.

Ako je to prva poseta korisnika, prikupljaju se informacije o uređaju, IP adresi i lokaciji koje se šalju na server.

Odgovor servera prekriva sadržaj veb stranice lažnim iskačućim prozorom za ažuriranje Google Chromea da bi se ili direktno preuzeo malver ili JavaScript program za preuzimanje koji preuzima i pokreće backdoor BadSpace.

Analiza C2 servera korišćenih u kampanji otkrila je veze sa poznatim malverom SocGholish (FakeUpdates), downloader malverom koji se širi putem istog mehanizma.

BadSpace može da prikuplja sistemske informacije, pravi snimke ekrana, čita i piše fajlove i briše zakazane zadatke.

Nedavno je eSentire upozorio na različite kampanje u kojima se koriste lažna ažuriranja pretraživača na hakovanim sajtovima za distribuciju malvera koji kradu informacije i trojanaca za daljinski pristup.

Ilustracija: G DATA