Fransa'daki kullanıcıları hedefleyen yeni bir 'sahte' kampanyası, Warmcookie Backdoor'un yeni bir sürümünü yayan sahte tarayıcı ve uygulama güncellemelerini göstermek için tehlikeye atılan web sitelerini kullanıyor.
FakeUpdate, 'Socgolish' olarak bilinen bir tehdit grubu tarafından kullanılan bir siber saldırı stratejisidir ve ziyaretçilere web tarayıcıları, Java, VMware iş istasyonu, WebEx ve Proton VPN gibi çeşitli uygulamalar için sahte güncelleme istemlerini göstermek için sahte web siteleri oluşturur.
Kullanıcılar meşru görünecek şekilde tasarlanmış güncelleme istemlerini tıkladıklarında, info-stajyerler, kripto para birimi süzücüleri, sıçanlar ve hatta fidye yazılımı gibi kötü amaçlı bir yük bırakan sahte bir güncelleme indirilir.
En son kampanya, Warmcookie Backdoor'un sahte Google Chrome, Mozilla Firefox, Microsoft Edge ve Java güncellemeleri olarak dağıtıldığını gözlemleyen Gen Tehdit Labs'daki araştırmacılar tarafından keşfedildi.
İlk olarak Esentir tarafından 2023'ün ortalarında keşfedilen Warmcookie, yakın zamanda kimlik avı kampanyalarında sahte iş teklifleri kullanılarak dağıtılan bir Windows arka kapıdır.
Geniş yetenekleri, veri ve dosya hırsızlığı, cihaz profili, program numaralandırma (Windows kayıt defteri aracılığıyla), keyfi komut yürütme (CMD aracılığıyla), ekran görüntüsü yakalama ve enfekte olmuş sistem üzerine ek yükler getirme yeteneği içerir.
Gen tehdit laboratuvarları tarafından tespit edilen en son kampanyada, Warmcookie Backdoor, TEMP klasöründen DLL'leri çalıştırmak ve çıktıyı geri göndermek ve Exe ve PowerShell dosyalarını aktarma ve yürütme yeteneği de dahil olmak üzere yeni özelliklerle güncellendi.
Enfeksiyonu tetiklemek için kullanılan yem, sahte saldırılar için yaygın olan sahte bir tarayıcı güncellemesidir. Bununla birlikte, Gen Digital ayrıca bu kampanyada sahte bir Java güncellemesinin tanıtıldığı bir site buldu.
Enfeksiyon zinciri, kullanıcının WarmCookie yükleyicisini getiren ve kullanıcıyı dosyayı kaydetmesini isteyen JavaScript'i tetikleyen sahte bir tarayıcı güncelleme bildirimini tıklamasıyla başlar.
Sahte yazılım güncellemesi yürütüldüğünde, kötü amaçlı yazılım, bir analistin ortamında çalışmadığından emin olmak için bazı anti-VM kontrolleri gerçekleştirir ve yeni enfekte olmuş sistemin parmak izini komut ve kontrol (C2) sunucusuna gönderir ve talimatları bekler.
Gen tehdidi laboratuvarları, saldırganların bu kampanyada tehlikeye atılmış web sitelerini kullandığını söylese de, IOC bölümünde paylaşılan bazı alanların "Edgeupdate [.] Com" ve "Mozilaupgrade [.] Com" gibi bazı alanlar 'FakeUpdate' ile eşleşecek şekilde seçilmiş gibi görünüyor tema.
Unutmayın, Chrome, Brave, Edge, Firefox ve tüm modern tarayıcılar yeni güncellemeler kullanıma sunulduğunda otomatik olarak güncellenir.
Bir güncellemenin tarayıcıya uygulanması için bir program yeniden başlatılması gerekebilir, ancak güncelleyici paketlerini manuel olarak indirmek ve yürütmek asla gerçek bir güncelleme işleminin bir parçası değildir ve tehlike işareti olarak görülmelidir.
Birçok durumda, FakeUpdates meşru ve başka türlü güvenilir web sitelerinden ödün veriyor, bu nedenle bu pop-up'lar tanıdık bir platformda olsanız bile dikkatle ele alınmalıdır.
Yeni Octo Android kötü amaçlı yazılım sürümü Nordvpn, Google Chrome'u taklit ediyor
Linux kötü amaçlı yazılım “perfctl” yıllarca süren kriptominasyon kampanyasının arkasında
Fin7 hacker'ları, kötü amaçlı yazılımları yaymak için Deepfake çıplak “jeneratör” sitelerini başlatır
ARC tarayıcı, RCE hatasını düzelttikten sonra böcek ödül programını başlattı
Yeni Romcom kötü amaçlı yazılım varyantı 'Snipbot' Veri hırsızlığı saldırılarında tespit edildi
Kaynak: Bleeping Computer