Bančni trojanec Chaes namesti zlonamerne razširitve za Chrome
Odkrita je bila obsežna akcija bankirja Chaesa, med katerim približno 800 Spletna mesta WordPress so bila ogrožena. Trojanec cilja predvsem na brazilske uporabnike in v svojih napadih uporablja pet zlonamernih razširitev za brskalnik Chrome.
lov dejavnost je bil odkrit avtor Avast strokovnjaki, ki poročajo, da se je nova kampanja zlonamerne programske opreme začela konec 2021. Sprva, je bila zlonamerna programska oprema odkrita nazaj v 2020 avtor Cybereason analitiki, in potem (kot zdaj) namenjen je bil strankam Banco do Brasil, Integrirana trgovina, Bitcoin trg, Banki Mercado Livre in Mercado Pago.
Zdaj raziskovalci pravijo, da se napad začne, ko žrtev obišče eno od vdrenih spletnih mest. tam, uporabnik vidi pojavno okno s prošnjo za namestitev ponaredka Java Runtime aplikacija.
Namestitveni program MSI za to “aplikacija” vsebuje tri zlonamerne datoteke (install.js, sched.js, uspeh.js) ki pripravijo okolje Python za nalagalnik naslednje stopnje. Če uporabnik sledi navodilom, zlonamerna programska oprema sproži zapleten postopek dostave bunkerja, ki se konča z uvedbo več modulov – vključno z vohunsko programsko opremo in modul za oddaljeni dostop.
Nekateri vmesni tovori niso le šifrirani, ampak tudi skrit v komentirani kodi znotraj strani HTML awsvirtuala[.]domena blogspot.com. V zadnji fazi napada, JavaScript dropper prenese in namesti do pet zlonamernih razširitev za Chrome v sistem žrtve:
- Na spletu – Modul Delphi, ki se uporablja za prstni odtis žrtve in prenos informacij o sistemu hekerjem’ nadzorni strežnik;
- Mtps4 (MultiTela Pascal) je backdoor, ki temelji na Delphiju, katerega glavni namen je povezava z nadzornim strežnikom in čakanje na izvedbo odgovora Pascal Script;
- Chrolog (ChromeLog) – krade gesla iz brskalnika Google Chrome, tudi modul je napisan v Delphiju;
- Chronodx (Chrome Noder) je JavaScript trojanec, ki, ob zaznavi zagona brskalnika Chrome, ga takoj zapre in odpre svoj primerek Chroma, ki vsebuje zlonamerni modul, ki krade bančne podatke;
- Chremows (Chrome WebSocket) je bančni JavaScript trojanec, ki prestreza pritiske tipk in klike miške v Chromu ter ukrade poverilnice (za uporabnike Mercado Livre in Mercado Pago).
Naj vas spomnim, da smo tudi to pisali bančni trojanec QakBot napadel čez 17,000 uporabnikov po vsem svetu, in tudi to Anubis Android Banker skoraj cilja 400 Uporabniki finančne aplikacije.
