AnyDesk es una útil herramienta de acceso a escritorio remoto que ha sido instalada por más de 300 millones de usuarios. Desafortunadamente, Los piratas informáticos encontraron una manera de troyanizar la aplicación en una reciente campaña de publicidad maliciosa.
Aplicación legítima de AnyDesk creada por malvertisers
Los investigadores de ciberseguridad de CrowdStrike informaron del descubrimiento de toda una red de publicidad maliciosa dirigida a AnyDesk y que entregó una instalación armada de la popular utilidad de software.. Para llegar a usuarios desprevenidos, los piratas informáticos utilizaron anuncios de Google fraudulentos que se infiltraron en las páginas de resultados de la red de búsqueda. Es muy probable que la campaña maliciosa que entrega el archivo AnyDeskSetup.exe armado despegara en abril. 21. Tras la ejecución, el archivo descargó un implante de PowerShell que exfiltró información de los sistemas infectados.
La detección de la campaña de publicidad maliciosa ocurrió con la ayuda de la plataforma CrowdStrike Falcon. “La actividad inicial provocó una detección dentro de la plataforma CrowdStrike Falcon®, etiquetado con la técnica T1036 de MITRE, "Mascarada,”Según el informe. Los investigadores también descubrieron un ejecutable manipulado que evadió la detección., intentar almorzar un script de PowerShell usando una línea de comando específica.
El script de PowerShell se puede describir como una puerta trasera típica. La parte más intrigante de la operación es todo el mecanismo de intrusión., mostrando que es más que su esfuerzo habitual de publicidad maliciosa. Los piratas informáticos utilizaron anuncios de Google maliciosos para ofrecer la aplicación armada a los usuarios que buscaban la popular herramienta AnyDesk.. Al hacer clic en el anuncio falso, el usuario sería redirigido a una página de ingeniería social que se parecía al sitio web legítimo de AnyDesk. El usuario también recibiría un enlace al instalador peligroso..
Según la investigación de CrowdStrike, 40% de los clics en el anuncio malicioso llevaron a instalaciones reales del binario troyano de AnyDesk. 20% de los clics fueron seguidos por una actividad específica del teclado que los actores de amenazas buscaban. Estas estadísticas demuestran que toda la campaña tiene una excelente tasa de éxito general.:
Los datos internos disponibles de CrowdStrike sugieren que 40% de los clics en este anuncio malicioso se convirtió en instalaciones de este binario troyanizado de AnyDesk, y 20% de las instalaciones incluyeron actividades de seguimiento con las manos en el teclado.
Si bien se desconoce qué porcentaje de las búsquedas de AnyDesk en Google dieron como resultado clics en el anuncio, un 40% La tasa de instalación de troyanos a partir de un clic en un anuncio muestra que este es un método extremadamente exitoso para obtener acceso remoto a una amplia gama de objetivos potenciales.
La divulgación técnica completa de la campaña de publicidad maliciosa está disponible en el informe original.
Operaciones de publicidad maliciosa detectadas previamente
En febrero de, una campaña de publicidad maliciosa coordinada por el grupo ScamClub explotó un día cero en los navegadores basados en WebKit. El objetivo final de la operación era inyectar cargas útiles maliciosas que redirigieran a los usuarios a sitios diseñados para estafas de tarjetas de regalo.. La campaña de publicidad maliciosa, observado por primera vez por Confiant en junio del año pasado, explotó la vulnerabilidad crítica CVE-2021-1801. Según la información oficial, la vulnerabilidad se descubrió por primera vez en Apple macOS hasta 11.1 por el investigador Eliya Stein de Confiant.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: