Questo blog parla di come cercare di fare la "cosa giusta" può portarti dritto in una trappola. Le persone che cercano una VPN Ho finito per scaricare un malware che rubava le credenziali.
Dal punto di vista della vittima, la sua fiducia è stata sfruttata in ogni fase: la fiducia nei motori di ricerca, nei loghi familiari, nelle firme digitali e nel presupposto che, se alla fine le cose «funzionano», devono essere sicure.
Immagina di cercare un VPN Un cliente si connette alla rete del tuo datore di lavoro. Utilizzi il tuo motore di ricerca preferito e, in cima ai risultati, vedi esattamente quello che stavi cercando: annunci che sembrano appartenere a nomi affermati del settore. Hanno il logo giusto, il nome del prodotto giusto e una descrizione che sembra legittima.
Ma ciò a cui si assiste, nei casi descritti da Microsoft, sono risultati di ricerca influenzati dal SEO poisoning. Il SEO poisoning consiste nel far sì che una pagina web ottenga un posizionamento elevato nei risultati di ricerca pertinenti senza acquistare annunci pubblicitari né seguire le best practice SEO legittime, ma faticose. Al contrario, i criminali informatici ricorrono a mezzi ingannevoli o addirittura illegali per portare le loro pagine in cima alla classifica.
Sulla versione contraffatta — forse addirittura clonato— VPN pagina, tutto sembra familiare: il marchio del fornitore, il nome del prodotto e una breve descrizione sull'accesso remoto sicuro. La cosa più importante è che c'è un Download pulsante. Fai clic, aspettandoti un programma di installazione da un fornitore affidabile, ma il sito ti reindirizza silenziosamente a un download di una release di GitHub, offrendo invece un file ZIP chiamato qualcosa del tipo VPN-CLIENT.zip.
GitHub è uno dei canali di distribuzione preferiti dagli autori di malware perché gode di ampia fiducia. In questa campagna, i criminali hanno persino firmato il loro file con un certificato legittimo, che nel frattempo è stato revocato. Il file ZIP scaricato contiene un file Microsoft Software Installer (.msi) che guida la vittima attraverso la consueta procedura di installazione («Installa», «Avanti», «Avanti», «Fine»), mentre durante l'installazione vengono caricati lateralmente file DLL (librerie di collegamento dinamico) dannosi.
Una di quelle DLL, dwmapi.dll, funge da caricatore, avviando uno shellcode incorporato che a sua volta viene eseguito inspector.dll, una variante dell'irace programma per il furto di informazioni. Dal momento in cui l'installazione termina, il tuo VPN Il cliente non è solo un cliente, ma anche un ladro di credenziali.
Quando inizi a usare il tuo nuovo VPN , accadono diverse cose in rapida successione:
- Il falso VPN Il client acquisisce il tuo nome utente, la password e l'URI di destinazione e passa questi dati al componente infostealer di Hyrax.
- Hyrax legge anche i dati esistenti VPN dati di configurazione, recuperando eventuali connessioni memorizzate e credenziali salvate.
- Il malware invia tutte le informazioni rubate a un'infrastruttura controllata dall'autore dell'attacco.
Tutto ciò che l'utente vede è un errore dal suono plausibile come "connessione non riuscita" o "problema di installazione". Per finire, il malware fornisce istruzioni per scaricare il legittimo VPN client da fonti ufficiali. In alcuni casi, apre persino il browser dell'utente al reale VPN sito web. Tutto ciò, naturalmente, per dissipare i sospetti.
Il resto avviene sulla rete del datore di lavoro. L'attaccante può ora accedere alla rete aziendale. VPN come te, dall'infrastruttura che controllano, e si mimetizzano immediatamente con il normale traffico di accesso remoto. Se il tuo account ha accesso a condivisioni di file, pannelli di amministrazione interni, sistemi di ticketing o servizi cloud, possono iniziare a esplorare o abusare di queste risorse.
Come evitare le imitazioni VPN clienti
Ora che sai cosa cercare, sei già un passo avanti. Ecco alcuni consigli generali per stare al sicuro:
- Non fidarti mai solo dei risultati di ricerca, soprattutto quando si tratta di software di sicurezza. Vai direttamente al sito web del produttore.
- Controlla attentamente il dominio prima di effettuare il download. Ti trovi ancora sul sito del fornitore o su una piattaforma affidabile? Se necessario, verifica il download con il tuo reparto IT.
- Segnalazione "fallita" VPN installa su IT . Non continuare a riprovare. Un errore imprevisto seguito da un reindirizzamento dovrebbe far scattare un campanello d'allarme.
- Non memorizzare informazioni aziendali VPN credenziali nei gestori di password personali o nei browser.
Se hai mai installato un VPN cliente da un sito non attendibile o da un dominio insolito, presupponi il tuo VPN Le credenziali potrebbero essere compromesse e potrebbe essere necessario richiederne il ripristino.
Naviga come se nessuno ti guardasse.
Malwarebytes Privacy VPN Crittografa la tua connessione e non registra mai le tue attività, così la prossima storia che leggerai non ti sembrerà personale. Provalo gratis →
