Open de verkeerde "PDF" en aanvallers krijgen op afstand toegang tot uw pc.

Cybercriminelen achter een campagne genaamd DEAD#VAX gaan een stap verder met phishing door malware te verspreiden via virtuele harde schijven die zich voordoen als gewone PDF-documenten. Open je de verkeerde 'factuur' of 'bestelbon', dan zie je helemaal geen document. In plaats daarvan... Windows Hiermee wordt een virtueel station aangemaakt dat stilletjes AsyncRAT installeert, een backdoor-trojan waarmee aanvallers uw computer op afstand kunnen monitoren en besturen.

Het is een tool voor externe toegang, wat betekent dat aanvallers op afstand controle krijgen over het toetsenbord, terwijl traditionele, op bestanden gebaseerde beveiligingen vrijwel niets verdachts op de schijf zien.

Vanuit een hoog niveau bekeken is de infectieketen lang, maar elke stap lijkt op zichzelf net legitiem genoeg om aan informele controles te ontsnappen.

Slachtoffers ontvangen phishing-e-mails die eruitzien als gewone zakelijke berichten, vaak met verwijzingen naar inkooporders of facturen en soms onder de naam van echte bedrijven. De e-mail bevat geen directe bijlage, maar een link naar een bestand dat is gehost op IPFS (InterPlanetary File System), een gedecentraliseerd opslagnetwerk dat steeds vaker wordt misbruikt in phishingcampagnes omdat de inhoud moeilijker te verwijderen is en via normale webgateways toegankelijk is.

Het gekoppelde bestand heeft de naam PDF en het bijbehorende PDF-pictogram, maar is in werkelijkheid een virtueel harde schijfbestand (VHD). Wanneer de gebruiker erop dubbelklikt, Windows Het programma koppelt het als een nieuwe schijf (bijvoorbeeld schijf E:) in plaats van een documentviewer te openen. Het koppelen van VHD's is volkomen legitiem. Windows gedrag, waardoor deze stap minder snel alarmbellen zal doen rinkelen.

In de aangesloten schijf bevindt zich wat lijkt op het verwachte document, maar het is in werkelijkheid een Windows Scriptbestand (WSF). Wanneer de gebruiker het opent, Windows Voert de code in het bestand uit in plaats van een PDF weer te geven.

Na enkele controles om analyse en detectie te voorkomen, injecteert het script de payload – AsyncRAT-shellcode – in vertrouwde, door Microsoft ondertekende processen, zoals RuntimeBroker.exe, OneDrive.exe, taskhostw.exeof sihost.exeDe malware schrijft nooit een daadwerkelijk uitvoerbaar bestand naar de schijf. Het bestaat en draait volledig in het geheugen binnen deze legitieme processen, waardoor detectie en uiteindelijk in een later stadium forensisch onderzoek veel moeilijker worden. Het voorkomt ook plotselinge pieken in activiteit of geheugengebruik die de aandacht zouden kunnen trekken.

Voor een individuele gebruiker kan het vallen voor deze phishing-e-mail leiden tot:

• Theft van opgeslagen en ingevoerde wachtwoorden, waaronder voor e-mail, bankieren en sociale media.
• Blootstelling van vertrouwelijke documenten, foto's of andere gevoelige bestanden die rechtstreeks uit het systeem zijn gehaald.
• Bewaking via periodieke screenshots of, indien geconfigureerd, webcamopnames.
• Gebruik van de machine als uitvalsbasis om andere apparaten op hetzelfde thuis- of kantoornetwerk aan te vallen.

Hoe blijf ik veilig

Omdat detectie moeilijk kan zijn, is het cruciaal dat gebruikers bepaalde controles uitvoeren:

• Open geen e-mailbijlagen voordat u bij een betrouwbare bron hebt gecontroleerd of ze legitiem zijn.
• Zorg ervoor dat u het daadwerkelijke bestandsextensies. Helaas, Windows Hiermee kunnen gebruikers ze verbergen. Dus, terwijl het bestand in werkelijkheid zou heten... invoice.pdf.vhd de gebruiker zou alleen zien invoice.pdf. Zie hieronder hoe u dit kunt doen.
• Gebruik een actuele, realtime anti-malwareoplossing die malware kan detecteren die zich in het geheugen verschuilt.

Bestandsextensies weergeven op Windows 10 en 11

Om bestandsextensies weer te geven in Windows 10 en 11:

• Open Explorer ( Windows toets + E)
• In Windows 10. Selecteer Weergave en vink het vakje voor Bestandsextensies aan.
• In Windows 11. Deze optie vindt u onder Weergave > Tonen > Bestandsextensies .

U kunt ook zoeken naar Opties voor Verkenner om de optie Extensies voor bekende bestandstypen verbergen uit te schakelen.

Voor oudere versies van Windows Raadpleeg dit artikel .

Van het melden van bedreigingen tot het verwijderen ervan.

Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .