Cybersicherheitsforscher entdeckten ein neues TDS (Verkehrsleitsystem), Papagei genannt, das Zehntausende von kompromittierten Websites verwendet.
Parrot TDS verwendet ein großes Netzwerk infizierter Websites
Parrot TDS hat mehrere Webserver infiziert, die mehr als hosten 16,500 Webseiten, sagte Entschlüsselt (Avast) Forscher. Die Websites umfassen Kategorien wie Erwachsene, persönlich, Universität, und Kommunalverwaltung. TDS-Netzwerke fungieren als Gateways, und im Fall von Parrot, die infizierten Seiten werden durch ein FakeUpdate verändert (SocGholisch) Kampagne, die JavaScript verwendet, um gefälschte Benachrichtigungen für Browser-Updates anzuzeigen, Bereitstellung eines Fernzugriffstools für Opfer.
Forscher glauben, dass Parrot TDS Prometheus TDS ähnelt, das im letzten Frühjahr in freier Wildbahn auftauchte. Jedoch, Papagei ist robuster, mit stärkerer Reichweite. Die Forscher beobachteten „eine erhöhte Aktivität des Parrot TDS im Februar 2022 durch Erkennung verdächtiger JavaScript-Dateien auf kompromittierten Webservern," laut der Meldung. Nach Durchführung einer Analyse, Die Forscher entdeckten mehrere Arten von Kampagnen, die Parrot verwenden. Die TDS selbst ist mindestens seit Oktober aktiv 2021.
Die kompromittierten Seiten haben nichts miteinander gemeinsam, Abgesehen von Servern, die schlecht gesicherte CMS-Sites hosten, wie WordPress.
„Ab März 1, 2022 bis März 29, 2022, wir schützten mehr als 600,000 einzigartige Benutzer aus der ganzen Welt daran hindern, diese infizierten Websites zu besuchen. In diesem Zeitraum, Wir haben die meisten Benutzer in Brasilien geschützt, mehr als 73,000 eindeutige Benutzer, Indien, fast 55,000 eindeutige Benutzer, und mehr als 31,000 Unique User aus den USA," der Bericht bekannt.
Papagei TDS: die gefälschte Update-Kampagne erklärt
Die FakeUpdate-Kampagne bietet eine zweite Verteidigungsebene, die eine Reihe von Mechanismen verwendet, B. die Verwendung eindeutiger URLs, die schädliche Inhalte nur an einen bestimmten Benutzer liefern. Der letzte Abwehrmechanismus besteht darin, den PC des Benutzers zu scannen, ausgeführt durch mehrere JavaScript-Codes, die vom FakeUpdate C2-Server an den Benutzer gesendet werden. Der Zweck dieses Scans besteht darin, die folgenden Informationen vom Opfer zu sammeln:
Name des PCs
Benutzername
Domain-Namen
Hersteller
Modell
BIOS-Version
Antivirus- und Antispyware-Produkte
MAC-Adresse
OS-Version
Die letzte Nutzlast der Operation ist eine RAT, üblicherweise ctfmon.exe genannt, Nachahmung des Namens eines legitimen Programms. Das Schadtool wird beim Einschalten des Computers automatisch gestartet, indem ein gesetzt wird HKCU SOFTWARE Microsoft Windows Currentversion Run Registrierungsschlüssel, der Bericht hinzugefügt.
Zuvor aktive TDS-Systeme
Es ist merkwürdig, das zu erwähnen, mit der Verbesserung der Browser, Die Verwendung von Exploit-Kits begann zu sinken, und TDS-Systeme ersetzten sie. Tatsächlich, Verkehrsverteilungssysteme waren eine entscheidende Komponente von Exploit-Kits, aber da EKs zurückgegangen, TDS wurde in Malware-Verteilungskampagnen immer beliebter. Ein Beispiel für ein weit verbreitetes TDS ist BlackTDS, die auftauchten 2018. Es hat viele Dienste geleistet, bekannt als Cloud-TDS. Das Cloud-TDS-Paket verarbeitete Social Engineering und Umleitung zu EKs, während es der Erkennung durch Forscher und Sandboxes entging. BlackTDS hatte auch Zugriff auf frische Domains mit sauberer Reputation über HTTPS.
Ein weiteres Beispiel für ein TDS ist ElTest, die im April versenkt wurde 2018. Es galt als das größte TDS, bevor es abgebaut wurde.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: