Hola Browser-kryptominer distribuert gjennom kompromittert oppdatering

En kompromittert oppdatering for Hola Browser utsatte Windows-brukere for en kryptomineringskampanje etter at angripere manipulerte en offisiell programvarepakke.

Forskere oppdaget at trusselaktører hadde lagt inn en kryptominer i en installasjonsfil for Hola Browser som ble distribuert til brukere. Fordi skadevaren ble levert gjennom en legitim oppdateringskanal, hadde de berørte brukerne liten grunn til å mistenke at noe var galt under installasjonen.

Hendelsen understreker den økende trusselen fra angrep mot programvareforsyningskjeder, der kriminelle kompromitterer pålitelige programvareleverandører og bruker legitime distribusjonskanaler til å levere skadelig kode.

Angriperne modifiserte et offisielt installasjonsprogram

Ifølge forskerne var den ondsinnede aktiviteten knyttet til et Windows-installasjonsprogram distribuert gjennom Hola Browsers infrastruktur. Brukere som lastet ned den berørte pakken installerte uvitende kryptomineringsprogramvare sammen med nettleseren.

Kryptomineren begynte deretter å bruke systemressurser for å generere kryptovaluta til angriperne. Ofrene kan ha lagt merke til uvanlig høy prosessorbruk, økt strømforbruk, redusert systemytelse eller overoppheting av enhetene.

Fordi skadevaren kom fra en pålitelig kilde, dukket ikke de tradisjonelle varselsignalene opp som ofte forbindes med mistenkelige nedlastinger.

Denne metoden gjorde det mulig for angriperne å skjule den ondsinnede aktiviteten bak det som så ut som en rutinemessig programvareinstallasjon.

Kryptomineren brukte offerenes ressurser

Kryptomineringsskadevare genererer inntekter ved å bruke infiserte systemer til å utføre kryptovalutaberegninger. Selv om slike trusler ofte opererer stille i bakgrunnen, kan de påvirke enhetens ytelse betydelig.

Infiserte datamaskiner opplever ofte lavere hastighet, økt vifteaktivitet og høyere strømforbruk. Langvarige infeksjoner kan også legge ekstra belastning på maskinvarekomponenter.

I motsetning til løsepengevirus som umiddelbart avslører sin tilstedeværelse, prioriterer kryptominere ofte å forbli skjult. Angriperne tjener på at infeksjonene holder seg aktive over lengre tid, fordi de da kan fortsette å bruke offerenes ressurser uten avbrudd.

Forskerne mener at angriperne bak kampanjen fokuserte på å opprettholde tilgangen lenge nok til å maksimere fortjenesten fra kryptomineringen.

Trusler mot programvareforsyningskjeden fortsetter å vokse

Hola Browser-hendelsen viser hvorfor angrep mot programvareforsyningskjeder fortsatt er en alvorlig bekymring for både organisasjoner og privatpersoner. Når angripere kompromitterer en pålitelig programvareleverandør, kan de nå et stort antall brukere gjennom legitime oppdateringsmekanismer.

Sikkerhetsteam overvåker i økende grad programvareforsyningskjeder fordi én enkelt kompromittering kan påvirke tusenvis av systemer. Selv brukere som følger trygge nedlastingsrutiner kan bli ofre dersom angripere infiltrerer en betrodd distribusjonskanal.

Hendelsen er enda en påminnelse om at cyberkriminelle fortsetter å lete etter nye måter å misbruke etablerte tillitsforhold i programvareøkosystemet på.

Konklusjon

Hola Browser-kryptominerkampanjen viser hvordan angripere kan gjøre pålitelige programvareoppdateringer om til mekanismer for distribusjon av skadevare. Ved å kompromittere et offisielt Windows-installasjonsprogram spredte trusselaktørene kryptomineringsskadevare gjennom en kanal brukerne normalt stoler på. Etter hvert som angrep mot programvareforsyningskjeder fortsetter å øke, møter både programvareleverandører og brukere større press for å styrke sikkerheten rundt oppdateringer og oppdage uautoriserte endringer før angriperne kan utnytte dem.