Starland-malware skjules i falske Zoom- og Webex-apper

Cyberkriminelle sprer Starland-malware ved å skjule den i falske installasjonsfiler for kjente bedriftsprogrammer. I stedet for å utnytte programvaresårbarheter lurer angriperne brukere til å installere infiserte versjoner av programmer de stoler på.

Når programmet er installert, får angriperne skjult ekstern tilgang til den infiserte datamaskinen. Deretter kan de stjele sensitiv informasjon, installere ytterligere skadevare og beholde kontrollen over systemet over lang tid.

Forskerne bak analysen mener at hele kampanjen bygger på sosial manipulering. Derfor er brukernes årvåkenhet like viktig som tekniske sikkerhetsløsninger.

Falske installasjonsfiler ser ekte ut

Angriperne skjuler Starland-malware i modifiserte versjoner av populære programmer.

Kampanjen benytter blant annet falske installasjonsfiler for Zoom og Cisco Webex, men flere andre programmer blir også misbrukt. Forskerne fant dessuten infiserte versjoner av databaseverktøy, programvare for fjernadministrasjon og ulike spillplattformer.

Brukerne tror de installerer legitim programvare, men installasjonsfilen legger samtidig inn Starland-malware uten å vekke mistanke.

Siden den ekte applikasjonen ofte fungerer som normalt, oppdager mange aldri at systemet deres har blitt kompromittert.

Skadevaren gir full ekstern tilgang

Etter installasjonen oppretter Starland-malware forbindelse med angripernes servere.

Deretter kan angriperne kjøre kommandoer eksternt og beholde full kontroll over den infiserte enheten. De kan også samle inn sensitiv informasjon eller installere ytterligere skadevare når de ønsker.

Forskerne har observert at skadevaren kan stjele lagrede nettleserdata, hente informasjon fra Active Directory-miljøer og lete etter kryptolommebøker som er lagret på datamaskinen.

Dette gjør både virksomheter og privatpersoner til attraktive mål.

Flere typer skadevare brukes

Starland er bare én del av angrepet.

Når angriperne først har fått tilgang, kan de installere flere typer skadevare avhengig av hva de finner i offerets miljø. De ekstra komponentene gir flere muligheter til å samle inn informasjon og overta kontrollen over flere systemer.

Forskerne identifiserte også et spesialutviklet PowerShell-implantat som ble brukt under angrepene. Verktøyet kommuniserer med angripernes kommando- og kontrollservere og laster skadevare direkte inn i systemets minne.

Ved å kombinere flere ulike verktøy kan angriperne tilpasse angrepet og samtidig gjøre det vanskeligere å oppdage.

Sosial manipulering driver angrepene

I motsetning til mange andre cyberangrep bygger denne kampanjen ikke på tekniske sårbarheter.

I stedet forsøker angriperne å overtale brukere til å laste ned programvare fra uoffisielle nettsteder. Når installasjonsfilen startes, begynner infeksjonen umiddelbart.

Metoden fungerer fortsatt fordi de falske installasjonsfilene ofte ser identiske ut med de ekte. Brukere som ikke kontrollerer hvor programvaren kommer fra, oppdager sjelden at noe er galt.

Offisielle nedlastinger reduserer risikoen

Virksomheter bør bare tillate installasjon av programvare fra offisielle leverandører eller pålitelige interne programvarekilder.

Sikkerhetsteam bør også kontrollere digitale signaturer, overvåke uventede programinstallasjoner og lære opp ansatte om risikoen ved falske nedlastingssider. Moderne endepunktsbeskyttelse kan i tillegg oppdage mistenkelig aktivitet etter at et program er installert.

Når cyberkriminelle i stadig større grad misbruker kjente programvaremerker, blir det viktigere enn noen gang å kontrollere alle nedlastinger før de installeres.