A Swarez Trojan and Dropper álcája alatt terjesztve 15 Népszerű játékok

Ez év áprilisában, A Kaspersky Lab szakértői rögzített egy nagyszabású kampány egy trójai és egy Swarez nevű cseppentő terjesztésére.

A rosszindulatú programot álcája alatt terjesztették 15 népszerű játékok, és az ilyen fájlok letöltési kísérleteit a cég termékei rögzítették 45 a világ országai.

A droppert különféle oldalakon vezették be, amelyek az illegális ingyenes szoftverterjesztés platformjait imitálják. Sok ilyen webhely rosszindulatú programokat terjeszt a programok kulcsainak leple alatt, beleértve a víruskereső szoftvereket is, fotó- és videószerkesztők, valamint népszerű játékok.

Példa egy webhely oldalára feltört szoftverrel a terjesztéshez Swarez.

A támadók a következő játékokat használták csalinak: USA között, Csatatér 4, Battlefield V, Ellenőrzés, Counter-Strike globális offenzíva, FIFA 21, Fortnite, Grand Theft Auto V, Minecraft, NBA 2K21, Need for Speed ​​Heat, PLAYERUNKNOWN'S BATTLEGROUNDS, Rozsda, A Sims 4, Titanfall 2. Minden bejegyzéshez több címkét használtak, hogy a céloldalak a keresési eredmények tetején jelenjenek meg.

A cseppentőt egy ZIP-archívumban terjesztették, amely egy másik jelszóval védett ZIP fájlt és egy ezt a jelszót tartalmazó szöveges fájlt tartalmazott. A kártevő elindítása a kód visszafejtését és aktiválását eredményezte Bika lopó trójai.

Így, a fertőzés első szakaszában, a Swarez dropper egy obfuszkált CMD-szkriptet hajt végre, amely visszafejti a legitim AutoIt értelmezőt. Használata, a rosszindulatú program végrehajtja az AutoIt szkriptet, ami szintén homályos. Számos ellenőrzést végeznek annak biztosítására, hogy a fájl nem emulált környezetben fut-e, majd a hasznos adatot az RC4 algoritmus segítségével visszafejtjük. Az eredményül kapott fájl beágyazódik az egyik rendszerfolyamatba, és a környezetében kerül végrehajtásra. Ez a Bika, által kifejlesztett fizetett lopó trójai Ragadozó hack csoport, számos funkcióval és testreszabási lehetőséggel. Képes sütiket lopni, mentett jelszavak és automatikus kitöltési adatok a böngészőkből, a kriptovaluta pénztárcák elérésének titkai, rendszerinformációkat gyűjt, szöveges fájlokat a felhasználó asztaláról, és még képernyőképeket is készíthet. A trójai mindezt az információt elküldi a C&C szerver.

Hadd emlékeztesselek, hogy nemrég én is ezt írtam A TrickBot új modult kapott az áldozatok megfigyelésére.