Banking Trojan Chaes installerer ondsindede Chrome-udvidelser
Chaes bankers storstilede kampagne blev opdaget, hvorunder ca 800 WordPress-websteder blev kompromitteret. Trojaneren er hovedsageligt rettet mod brasilianske brugere og bruger fem ondsindede udvidelser til Chrome-browseren i sine angreb.
Jage aktivitet blev opdaget ved Avast eksperter, der rapporterer, at en ny malware-kampagne startede i slutningen af 2021. I første omgang, malwaren blev opdaget igen 2020 ved Cyberason analytikere, og så (som nu) det var rettet mod kunder hos Banco do Brasil, Integreret butik, Bitcoin marked, Mercado Livre og Mercado Pago banker.
Nu siger forskerne, at angrebet starter, når offeret besøger en af de hackede sider. Der, brugeren ser et pop op-vindue, der beder om at installere en falsk Java Runtime Ansøgning.
MSI-installationsprogrammet til dette “app” indeholder tre ondsindede filer (install.js, sched.js, success.js) der forbereder Python-miljøet til den næste fase-loader. Hvis brugeren følger instruktionerne, malwaren starter en kompleks bunkerleveringsprocedure, som ender med udrulning af flere moduler – inklusive spyware og fjernadgangsmodul.
Nogle mellemliggende nyttelaster er ikke kun krypteret, men også skjult i kommenteret kode inde i HTML-siderne i awsvirtual[.]blogspot.com domæne. I sidste fase af angrebet, JavaScript-dropperen downloader og installerer op til fem ondsindede Chrome-udvidelser på offerets system:
- Online – Delphi-modulet bruges til at fingeraftrykke offeret og overføre systemoplysninger til hackerne’ kontrolserver;
- Mtps4 (MultiTela Pascal) er en Delphi-baseret bagdør, hvis hovedformål er at oprette forbindelse til kontrolserveren og vente på, at svaret Pascal Script udføres;
- chrolog (ChromeLog) – stjæler adgangskoder fra Google Chrome, modulet er også skrevet i Delphi;
- Chronodx (Chrome Noder) er en JavaScript-trojaner, der, ved registrering af lanceringen af Chrome-browseren, lukker den straks og åbner sin egen forekomst af Chrome, der indeholder et ondsindet modul, der stjæler bankoplysninger;
- Cremet (Chrome WebSocket) er en bank JavaScript-trojaner, der opsnapper tastetryk og museklik i Chrome for at stjæle legitimationsoplysninger (for MercadoLibre- og MercadoPago-brugere).
Lad mig minde dig om, at vi også skrev det Bank Trojan QakBot angrebet over 17,000 brugere verden over, forbundet til internettet uden nogen beskyttelse og krypterer brugerdata for at indsamle en løsesum i bitcoins Anubis Android Banker er næsten målrettet 400 Finansielle app-brugere.
