Des chercheurs en cybersécurité ont détecté un nouveau TDS (Système de direction du trafic), appelé perroquet, qui utilise des dizaines de milliers de sites Web compromis.
Parrot TDS utilise un vaste réseau de sites infectés
Parrot TDS a infecté plusieurs serveurs Web qui hébergent plus de 16,500 sites, dit Décodé (Avast) des chercheurs. Les sites Web incluent des catégories telles que adulte, personnel, université, et gouvernement local. Les réseaux TDS agissent comme des passerelles, et dans le cas de Parrot, les sites infectés sont altérés par un FakeUpdate (SocGholish) campagne qui utilise JavaScript pour afficher de fausses notifications pour les mises à jour du navigateur, fournir un outil d'accès à distance aux victimes.
Les chercheurs pensent que Parrot TDS est similaire à Prometheus TDS qui est sorti dans la nature au printemps dernier. Cependant, Le perroquet est plus robuste, avec une portée plus puissante. Les chercheurs ont observé « une activité accrue du Parrot TDS en février 2022 en détectant les fichiers JavaScript suspects sur les serveurs Web compromis," selon le rapport. Après avoir effectué une analyse, les chercheurs ont découvert plusieurs types de campagnes utilisant Parrot. Le TDS lui-même est actif au moins depuis octobre 2021.
Les sites compromis n'ont rien en commun les uns avec les autres, en dehors des serveurs qui hébergent des sites CMS mal sécurisés, comme WordPress.
« A partir de mars 1, 2022 marcher 29, 2022, nous avons protégé plus de 600,000 utilisateurs uniques du monde entier de visiter ces sites infectés. Dans ce laps de temps, nous avons protégé le plus d'utilisateurs au Brésil, plus que 73,000 utilisateurs uniques, Inde, presque 55,000 utilisateurs uniques, et plus de 31,000 utilisateurs uniques des États-Unis," le rapport c'est noté.
Perroquet TDS: la campagne de fausses mises à jour expliquée
La campagne FakeUpdate fournit une deuxième couche de défense qui utilise un certain nombre de mécanismes, comme l'utilisation d'URL uniques qui fournissent un contenu malveillant à un seul utilisateur spécifique. Le dernier mécanisme de défense consiste à scanner le PC de l'utilisateur, effectué par plusieurs codes JavaScript envoyés à l'utilisateur par le serveur FakeUpdate C2. Le but de cette analyse est de récolter les informations suivantes de la victime:
Nom de l'ordinateur
Nom d'utilisateur
Nom de domaine
Fabricant
Modèle
Version du BIOS
Produits antivirus et anti-logiciels espions
Adresse Mac
Version de l'OS
La charge utile finale de l'opération est un RAT, communément nommé ctfmon.exe, imiter le nom d'un programme légitime. L'outil malveillant est automatiquement lancé à la mise sous tension de l'ordinateur en définissant un HKCU SOFTWARE Microsoft Windows CurrentVersion Run clé d'enregistrement, le rapport ajouté.
Systèmes TDS précédemment actifs
Il est curieux de mentionner que, avec l'amélioration des navigateurs, l'utilisation des kits d'exploitation a commencé à décliner, et les systèmes TDS les ont remplacés. En fait, les systèmes de distribution de trafic étaient un élément crucial des kits d'exploitation, mais depuis que les EK ont diminué, TDS est devenu plus populaire dans les campagnes de distribution de logiciels malveillants. Un exemple de TDS largement utilisé est BlackTDS, qui a émergé dans 2018. Il a fourni de nombreux services, connu sous le nom de Cloud TDS. Le package Cloud TDS a géré l'ingénierie sociale et la redirection vers les EK tout en évitant la détection par les chercheurs et les bacs à sable. BlackTDS a également eu accès à de nouveaux domaines avec une réputation propre sur HTTPS.
Un autre exemple de TDS est ElTest, qui a coulé en avril 2018. Il était considéré comme le plus grand TDS avant qu'il ne soit démonté.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: