Milyonlarca İnsan Siber Saldırıya Maruz Kaldı
Siber güvenlik şirketi Proofpoint’den araştırmacılar son zamanlarda ABD, Kanada, İngiltere ve Avustralya’daki milyonlarca İnternet kullanıcısına malware enfeksiyonlarına maruz kalmış büyük ölçekli bir kötü amaçlı yazılım geliştirme kampanyası keşfetti .
Bir yıldan uzun süredir devam eden ve halen sürmekte olan kötü amaçlı yazılım kampanyası, 2015 kötü niyetli reklam kampanyasında kullanılan Kovter reklam sahtekârması zararlı yazılımını ve 2017’de daha önce olan KovCoreG adlı bir hack grubu tarafından yürütülmektedir .
KovCoreG hack grubu, başlangıçta Chrome, Firefox ve Microsoft Edge / Internet Explorer da dahil olmak üzere üç büyük Windows web tarayıcısında çalışan sahte tarayıcı güncellemelerini dağıtmak için başlangıçta dünyanın en çok ziyaret edilen yetişkin web sitelerinden P0rnHub’tan yararlandı.
Proofpoint araştırmacılarına göre, bu kampanyadaki enfeksiyonlar İlk olarak P0rnHub web sayfalarında Traffic Junky adlı meşru bir reklam ağı vasıtasıyla kullanıcılara, Kovtar kötü amaçlı yazılımları sistemlerine yüklemelerine izin veren kısıtlamalar getirdi.
Diğer kötü niyetli şeylerin yanı sıra, Kovter zararlı yazılımı, virüs bulaşmış bilgisayarın her başlatıldıktan sonra kötü amaçlı yazılım yüklemesine izin veren benzersiz kalıcılık mekanizmasıyla bilinir.Traffic Junky reklamcılık ağı, kullanıcıları Chrome ve Firefox kullanıcılarının sahte bir tarayıcı güncelleme penceresi gösterdiği, Internet Explorer ve Edge kullanıcılarının sahte bir Flash güncellemesi yaptığı kötü niyetli bir web sitesine yönlendirildi.
“[Malware] zinciri, başlıca bir içerik dağıtım ağı olan KeyCDN’in arkasında barındırılan bir çağrı ekleyen avertizingms [.] Com’da barındırılan kötü amaçlı bir yönlendirme ile başlıyor” diyor Proofpoint yazıyor:Saldırganlar , kullanıcıları hedeflemek ve analizden kaçmak için bir takım filtre ve parmak izi ” zaman aralığı, ekran boyutu, geçerli tarayıcı penceresinin dil (kullanıcı / tarayıcı) geçmişi uzunluğu ve Mumou r üzerinden benzersiz kimlik oluşturma ” kullandı.Araştırmacılar, Chrome kullanıcılarına, saldırganlar tarafından kontrol edilen sunucuya geri bildirilen bir JavaScript bulaştırdığını ve IP’nin ” kontrol edilmediği” durumunda malware zinciriyle çalışan güvenlik analistlerini önlediğini söyledi .
Proofpoint yazıyor: ” Bu, JavaScript’in tek başına çalıştırılmasını ve bir kum havuzunda yükü temin etmesini son derece zor kılıyor .” ” Zincirin bu bileşeninin daha önce belgelenmemesi büyük ihtimalle. “Bu durumda, saldırganlar yasadışı gelir elde etmek için dolandırıcılık tıklamaları kampanyalarını sınırlamış ancak Proofpoint araştırmacıları, bu kötü amaçlı yazılımın, fidan yazılımını, bilgiyi yaymak için kolayca değiştirilebileceğini düşünüyorlardı. Truva atlarını veya başka bir kötü amaçlı yazılım çalmak.Araştırmacılara göre P0rnHub ve Traffic Junky, ” bu tehdidi bildirimde hızla düzeltmek için harekete geçti. “Site operatörü ve reklam ağı bildirildikten sonra bu belirli enfeksiyon zinciri başarıyla kapatılmış olsa da, kötü amaçlı yazılım kampanyası başka yerlerde halen devam etmektedir