AnyDesk est un outil d'accès au bureau à distance utile qui a été installé par plus de 300 millions d'utilisateurs. Malheureusement, les pirates ont trouvé un moyen de trojaniser l'application dans un récent campagne de publicité malveillante.
Application AnyDesk légitime conçue par des malvertiseurs
Des chercheurs en cybersécurité de CrowdStrike ont signalé la découverte d'un réseau complet de publicité malveillante ciblant AnyDesk et fournissant une installation militarisée de l'utilitaire logiciel populaire. Pour toucher des utilisateurs sans méfiance, les pirates ont utilisé des publicités Google malveillantes qui ont infiltré les pages de résultats du réseau de recherche. Il est très probable que la campagne malveillante délivrant le fichier militarisé AnyDeskSetup.exe a décollé en avril 21. Lors de l'exécution, le fichier a téléchargé un implant PowerShell qui a exfiltré les informations des systèmes infectés.
La détection de la campagne de malvertising s'est faite avec l'aide de la plateforme CrowdStrike Falcon. «L'activité initiale a déclenché une détection au sein de la plateforme CrowdStrike Falcon®, étiqueté avec la technique de MITRE T1036, "Mascarade,» Le rapport. Les chercheurs ont également découvert un exécutable manipulé qui a échappé à la détection, tenter de lancer un script PowerShell à l'aide d'une ligne de commande spécifique.
Le script PowerShell peut être décrit comme une porte dérobée typique. La partie la plus intrigante de l'opération est l'ensemble du mécanisme d'intrusion, montrant que c'est plus que votre effort régulier de publicité malveillante. Les pirates ont utilisé des publicités Google malveillantes pour diffuser l'application militarisée aux utilisateurs à la recherche du populaire outil AnyDesk.. En cliquant sur la fausse annonce, l'utilisateur serait redirigé vers une page d'ingénierie sociale qui ressemblait au site Web légitime d'AnyDesk. L'utilisateur recevrait également un lien vers l'installateur dangereux.
Selon la recherche CrowdStrike, 40% des clics sur l'annonce malveillante ont conduit à des installations réelles du binaire AnyDesk trojanisé. 20% des clics ont été suivis par une activité de clavier spécifique recherchée par les acteurs de la menace. Ces statistiques prouvent que l'ensemble de la campagne a un excellent taux de réussite global:
Les données internes disponibles de CrowdStrike suggèrent que 40% des clics sur cette publicité malveillante ont été transformés en installations de ce binaire AnyDesk trojanisé, et 20% des installations incluaient une activité pratique de suivi sur le clavier.
Bien que l'on ne sache pas quel pourcentage de recherches Google sur AnyDesk a généré des clics sur l'annonce, une 40% Le taux d'installation du cheval de Troie à partir d'un clic sur une annonce montre qu'il s'agit d'une méthode extrêmement efficace pour accéder à distance à un large éventail de cibles potentielles.
La divulgation technique complète de la campagne de publicité malveillante est disponible dans le rapport initial.
Opérations de malvertising précédemment détectées
En Février, une campagne de malvertising coordonnée par le groupe ScamClub exploité un zero-day dans les navigateurs basés sur WebKit. L'objectif final de l'opération était d'injecter des charges utiles malveillantes qui redirigent les utilisateurs vers des sites conçus pour les escroqueries par carte-cadeau. La campagne de malvertising, observé pour la première fois par Confiant en juin de l'année dernière, a exploité la vulnérabilité critique CVE-2021-1801. Selon les informations officielles, la vulnérabilité a été découverte pour la première fois dans Apple macOS jusqu'à 11.1 par la chercheuse Eliya Stein de Confiant.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: