Cyberkriminella sprider Starland-malware genom att dölja den i falska installationsfiler för välkända företagsprogram. I stället för att utnyttja säkerhetsbrister lurar angriparna användare att själva installera infekterade versioner av betrodda applikationer.
När programmet har installerats får angriparna diskret fjärråtkomst till den infekterade datorn. Därefter kan de stjäla känslig information, installera ytterligare skadlig kod och behålla kontrollen över systemet under lång tid.
Forskarna bakom analysen bedömer att hela kampanjen bygger på social manipulation. Därför spelar användarnas vaksamhet en lika viktig roll som tekniska säkerhetslösningar.
Falska installationsfiler ser äkta ut
Angriparna gömmer Starland-malware i modifierade versioner av populära program.
Kampanjen använder bland annat falska installationsfiler för Zoom och Cisco Webex, men även andra program har utnyttjats. Forskarna hittade dessutom infekterade versioner av databasverktyg, program för fjärradministration och olika spelplattformar.
Användarna tror att de installerar legitim programvara, men installationsfilen placerar samtidigt Starland-malware på datorn utan att väcka misstankar.
Eftersom den riktiga applikationen ofta fungerar som vanligt upptäcker många aldrig att systemet har komprometterats.
Skadlig kod ger full fjärråtkomst
Efter installationen etablerar Starland-malware kontakt med angriparnas servrar.
Därefter kan angriparna köra kommandon på distans och behålla full kontroll över den infekterade enheten. De kan också samla in känslig information eller installera ytterligare skadlig kod när de vill.
Forskarna har sett att malwarefamiljen kan stjäla sparade webbläsaruppgifter, samla in information från Active Directory-miljöer och leta efter kryptoplånböcker som finns lagrade på datorn.
Det gör både företag och privatpersoner till attraktiva måltavlor.
Flera typer av skadlig kod används
Starland utgör bara en del av attacken.
När angriparna väl har fått åtkomst kan de installera fler skadliga program beroende på vilket värde de hittar i offrets miljö. De extra komponenterna ger fler möjligheter att samla in information och ta kontroll över fler system.
Forskarna identifierade även ett specialutvecklat PowerShell-implantat som användes under attackerna. Verktyget kommunicerar med angriparnas kommando- och kontrollservrar samt laddar skadlig kod direkt i datorns minne.
Genom att kombinera flera olika verktyg kan angriparna anpassa attacken och samtidigt göra den svårare att upptäcka.
Social manipulation driver attackerna
Till skillnad från många andra cyberattacker bygger den här kampanjen inte på tekniska sårbarheter.
I stället försöker angriparna övertyga användare att ladda ned program från inofficiella webbplatser. När installationsfilen startas börjar infektionen omedelbart.
Metoden fortsätter att fungera eftersom de falska installationsfilerna ofta ser identiska ut med de äkta. Användare som inte kontrollerar var programvaran kommer ifrån märker sällan att något är fel.
Officiella nedladdningar minskar risken
Organisationer bör endast tillåta installation av programvara från officiella leverantörer eller betrodda interna programbibliotek.
Säkerhetsteam bör dessutom kontrollera digitala signaturer, övervaka oväntade programinstallationer och utbilda medarbetare om riskerna med falska nedladdningssidor. Moderna endpoint-skydd kan också upptäcka misstänkt aktivitet efter att ett program har installerats.
När cyberkriminella allt oftare utnyttjar välkända programvarumärken blir det viktigare än någonsin att kontrollera varje nedladdning innan den installeras.
0 svar till ”Starland-malware döljs i falska Zoom- och Webex-appar”