Novi malver ChromeLoader menja podešavanja Chromea i Safarija

Opisi virusa, 26.05.2022, 08:00 AM

ChromeLoader je “prodoran i uporan otmičar pregledača” koji može da izmeni podešavanja veb pregledača žrtava da bi prikazao rezultate pretrage koji promovišu neželjeni softver, lažne poklone, ankete i sajtove za upoznavanje.

Distributeri malvera zarađuju tako što preusmeravaju korisnički saobraćaj na sajtove za oglašavanje. Postoji mnogo malvera ove vrste, ali ChromeLoader se ističe po postojanosti, obimu i načinu infekcije, koji uključuje agresivnu upotrebu PowerShella.

Prema istraživačima Red Canaryja, koji prate povećanu aktivnost ChromeLoadera od februara ove godine, distributeri malvera koriste maliciozni ISO fajl da zaraze žrtve, predstavljajući ga kao krekovanu video igru ili komercijalni softver, piratski film ili TV emisiju, tako da ga žrtve verovatno same preuzimaju sa torenta ili drugih sajtova. Na kraju se malver manifestuje kao ekstenzija pregledača.

Istraživači su takođe primetili postove na Twitteru koji promovišu krekovane Android igre i QR kodove koji vode do sajtova na kojima se nalazi malver.

Kao i većina sumnjivih ekstenzija pregledača, ChromeLoader je relativno benigna pretnja koja otima korisničke upite za pretragu i preusmerava saobraćaj na sajtove za oglašavanje. Međutim, ChromeLoader koristi PowerShell da bi se ubacio u pregledač i dodao mu zlonamernu ekstenziju. Ako se ovo primeni na pretnju sa većim uticajem, kao što je malver koji prikuplja lozinke ili špijunski softver, to može pomoći malveru da stekne početno uporište i ostane neotkriven pre nego što započne otvorenije zlonamerne aktivnosti, kao što je eksfiltracija podataka iz sesija pregledača korisnika.

Kada žrtva dva puta klikne na ISO fajl na operativnom sistemu Windows 10 ili na novijoj verziji, on će se otvoriti kao virtuelni CD-ROM uređaj. Ovaj ISO fajl sadrži izvršni fajl koji se pretvara da je program za krekovanje video igrice ili generator ključa, sa nazivima poput „CS_Installer.exe“.

Na kraju, ChromeLoader izvršava i dekodira PowerShell komandu koja preuzima arhivu sa servera i učitava je kao ekstenziju za Google Chrome. Kada se ovo uradi, PowerShell će ukloniti zakazani zadatak ostavljajući Chrome zaraženim tiho ubačenom ekstenzijom koja otima pregledač i manipuliše rezultatima pretraživača.

Operateri ChromeLoadera takođe ciljaju i macOS sisteme, nastojeći da manipulišu i Chromeom i Appleovim Safarijem.

Lanac infekcije na macOS-u je sličan, ali umesto ISO fajla, napadači koriste DMG (Apple Disk Image) fajlove.