Een nieuw, grootschalige Mac malvertising campagne werd net ontdekt. Beveiliging onderzoekers van Confiant zeggen dat ongeveer 1 miljoen gebruikers sessies zijn mogelijk blootgesteld. Het laadvermogen van de malvertising campagne is de Shlayer Trojan.
Wie er achter de Mac Malvertising Campaign?
Het is van mening dat een groep die bekend staat als VeryMal achter deze Mac malvertising aanvallen. De groep is gericht op Mac-gebruikers, en het lijkt erop dat het gewoon veranderingen overgeschakeld naar een nieuwe kwaadaardige scenario. Eerder, VeryMal criminelen gebruikt steganografie als een verduistering techniek. Nu, de groep wordt met behulp van advertentie-tags die een nuttige lading van Google Firebase te halen met het doel van het omleiden van gebruikers naar kwaadaardige pop-ups, Confiant zei.
Wat is Firebase? Firebase is een mobiele en web application development platform ontwikkeld door Firebase, Inc. in 2011, vervolgens overgenomen door Google in 2014. Het platform is rijk aan features, en heeft een cloud-hosted backend suite die gewoonlijk wordt gebruikt voor mobiele app ontwikkeling. Een van de onderdelen uitgebuit door de aanvallers is Firestore, en het is al ingezet in creatieve labels.
"De code in de tag doet eigenlijk niets meer dan verzoek een item uit de aanvaller Firestore DB en nadien uitgevoerd als JavaScript met behulp van de eval() verklaring on line 27", de onderzoekers opgemerkt.
Na eerst te controleren om te zien of het draait in een desktop Safari-omgeving, de code heeft een sub-aandoening die controleert of “navigator.javaEnabled()”Er is geknoeid met in de huidige omgeving. Als alle controles uit, de payload zal de nietsvermoedende bezoeker omleiden naar de Flash-prompt. De opvallende aspect is echter dat het label kijkt naar de meeste mensen en afweermechanismen als een normaal, onschadelijk ad tag.
Gelukkig, Google heeft de misbruikte Firebase accounts opgeschort, maar onderzoekers zijn van mening dat cybercriminelen met blijven deze techniek te benutten.
Voor wat betreft de weergave-advertentie redirects, ze worden ingezet om nep Flash updates aan nietsvermoedende gebruikers te leveren. Zodra het potentieel slachtoffer samenwerkt met de advertentie op een website, een pop-up shows vragen aan de gebruiker om hun Flash player updaten. Na akkoord te gaan met de prompt, de payload, Shlayer Trojan, zullen worden ingezet.
Meer over de Shlayer Trojan
De Shlayer Trojan is bekend voor het gebruik van valse Adobe Flash updates. Een eerdere campagne maakte gebruik van nep-updates nep-updates die als legitieme sites masqueraded, of gekaapt domeinen voorheen hosting legitieme sites.
Schadelijke browser extensies zijn ook gebruikt door de Trojan. De gevaarlijke code is weer vermomd als een Adobe Flash Player-installatieprogramma.
Houd in gedachten dat de Shlayer Mac Trojan kan leiden tot verdere infecties. Gezien de complexe modulaire ontwerp, het kan gemakkelijk worden gebruikt voor andere kwaadaardige doeleinden, zoals de volgende:
informatie Oogsten. De malware kan worden gebruikt om de oogst gegevens die kunnen worden geconfigureerd om zowel machine- statistieken en gebruikersinformatie extraheren. De eerste categorie wordt gebruikt om een unieke ID die is toegewezen aan elke afzonderlijke machine genereren. Dit gebeurt via een algoritme dat een lijst van geïnstalleerde hardware componenten gebruikt, gebruikersinstellingen en andere besturingssystemen metrics. Het kan ook direct de identiteit van de slachtoffers bloot te leggen door te kijken uit naar reeksen die hun naam kan onthullen, adres, telefoonnummer, locatie en elk opgeslagen accountreferenties.
System Wijzigingen. configuratiebestanden - Om verdere infecties te vergemakkelijken de payload code kunnen verschillende wijzigingen doorgevoerd aan de gecompromitteerde machines maken, besturingssysteem milieu waarden en gebruikersinstellingen.
Boot Options Wijzigingen. Door de toegang tot het Mac OS-computers instellingen de Shlayer Trojan kan zichzelf of een andere ingezet payloads instellen om automatisch te starten wanneer de computer wordt aangezet.
Extra Payload Delivery. Het Trojaanse paard kan worden gebruikt om andere bedreigingen van de computers, zoals mijnwerkers en ransomware leveren.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: