Tin tặc đang sử dụng trang thông tin Windows giả mạo để phát tán phần mềm độc hại

Một chiến dịch quảng cáo độc hại mới bị phát hiện đã sử dụng các trang web giả mạo trang tin tức Windows hợp pháp để quảng cáo các phần mềm độc hại cho một công cụ lập hồ sơ hệ thống phổ biến có tên CPU-Z.

Jérôme Segura của Malwarebytes cho biết: “Sự cố này là một phần của chiến dịch quảng cáo độc hại lớn hơn nhắm vào người dùng các tiện ích như Notepad++, Citrix và VNC Viewer”.

Trong khi các chiến dịch quảng cáo độc hại thường sử dụng các trang web giả mạo trang web chính thức của các phần mềm được sử dụng rộng rãi, chiến dịch mới nhất cho thấy sự khác biết ở chỗ sử dụng các trang bắt chước WindowsReport[.]com.

Mục đích là đánh lừa những người dùng khi tìm kiếm CPU-Z trên các công cụ tìm kiếm như Google thông qua các quảng cáo độc hại mà khi nhấp vào sẽ chuyển hướng họ đến trang giả mạo (workspace-app[.]online).

Trình cài đặt MSI đã ký được lưu trữ trên trang web lừa đảo chứa một tập lệnh PowerShell độc hại, một công cụ tải (loader) được gọi là FakeBat (hay EugenLoader), đóng vai trò như một đường dẫn để triển khai RedLine Stealer trên máy chủ bị xâm nhập.

Segura lưu ý rằng: “Có thể kẻ tấn công đã chọn cách tạo một trang giả mạo Windows Report vì nhiều tiện ích phần mềm thường được tải xuống từ các trang như vậy thay vì trang web chính thức”.

Sự phát triển này diễn ra khi các tác nhân đe dọa đang ngày càng dựa vào các công cụ lừa đảo trung gian (AiTM) như NakedPages, Strox, và DadSec để vượt qua kiểm tra xác thực đa yếu tố và chiếm đoạt các tài khoản bị nhắm mục tiêu.

Để giảm thiểu nguy cơ trở thành nạn nhân của các chiến dịch phán tán phần mềm độc hại, người dùng chỉ nên tải xuống và cài đặt phần mềm từ các nguồn đáng tin cậy như trang web hoặc cửa hàng ứng dụng chính thức; xem xét cẩn thận các thông tin như mô tả, thông tin nhà phát triển, số lượt tải xuống, đánh giá,… trước khi tải xuống cũng như kiểm tra các quyền mà ứng dụng yêu cầu trong khi cài đặt hoặc sử dụng. Nếu phát hiện bất kỳ điểm đáng ngờ nào, tốt nhất bạn nên hủy/gỡ cài đặt ứng dụng ngay.

Nguồn: thehackernews.com.