Otwórz niewłaściwy plik „PDF”, a atakujący uzyskają zdalny dostęp do Twojego komputera.

Cyberprzestępcy stojący za kampanią DEAD#VAX posuwają phishing o krok dalej, dostarczając złośliwe oprogramowanie na wirtualnych dyskach twardych, które udają zwykłe dokumenty PDF. Otwórz niewłaściwą „fakturę” lub „zamówienie zakupu”, a w ogóle nie zobaczysz dokumentu. Zamiast tego, Windows montuje wirtualny dysk, który dyskretnie instaluje AsyncRAT , trojana typu backdoor, który umożliwia atakującym zdalne monitorowanie i kontrolowanie komputera.

Jest to narzędzie zdalnego dostępu, co oznacza, że atakujący uzyskują zdalną kontrolę nad klawiaturą, podczas gdy tradycyjne zabezpieczenia oparte na plikach nie wykrywają prawie żadnych podejrzanych działań na dysku.

Z ogólnego punktu widzenia łańcuch infekcji jest długi, ale każdy jego etap wygląda na tyle legalnie, że może przejść niezauważony podczas rutynowej kontroli.

Ofiary otrzymują wiadomości phishingowe, które wyglądają jak rutynowe wiadomości biznesowe, często odnoszące się do zamówień lub faktur, a czasami podszywające się pod prawdziwe firmy. Wiadomość e-mail nie zawiera bezpośrednio załączonego dokumentu. Zamiast tego zawiera link do pliku przechowywanego w IPFS (InterPlanetary File System), zdecentralizowanej sieci pamięci masowej, która jest coraz częściej wykorzystywana w kampaniach phishingowych, ponieważ zawartość jest trudniejsza do usunięcia i można uzyskać do niej dostęp za pośrednictwem zwykłych bram internetowych.

Powiązany plik nazywa się PDF i ma ikonę PDF, ale w rzeczywistości jest plikiem wirtualnego dysku twardego (VHD). Po dwukrotnym kliknięciu przez użytkownika Windows Montuje go jako nowy dysk (na przykład dysk E:) zamiast otwierać przeglądarkę dokumentów. Montowanie dysków VHD jest całkowicie legalne. Windows zachowanie, co sprawia, że ​​ten krok jest mniej prawdopodobny i nie powinien wywołać alarmu.

Wewnątrz zamontowanego dysku znajduje się dokument, który wydaje się być oczekiwanym dokumentem, ale w rzeczywistości jest to Windows Plik skryptu (WSF). Po jego otwarciu użytkownik Windows wykonuje kod z pliku zamiast wyświetlać plik PDF.

Po przeprowadzeniu kilku kontroli mających na celu uniknięcie analizy i wykrycia, skrypt wprowadza ładunek — kod powłoki AsyncRAT — do zaufanych procesów podpisanych przez firmę Microsoft, takich jak RuntimeBroker.exe, OneDrive.exe, taskhostw.exelub sihost.exe. Złośliwe oprogramowanie nigdy nie zapisuje rzeczywistego pliku wykonywalnego na dysku. Działa wyłącznie w pamięci wewnątrz tych legalnych procesów, co znacznie utrudnia jego wykrycie, a w późniejszym etapie również analizę kryminalistyczną. Pozwala to również uniknąć nagłych skoków aktywności lub zużycia pamięci, które mogłyby zwrócić uwagę.

W przypadku użytkownika indywidualnego, narażenie się na tę wiadomość phishingową może skutkować:

• Theft zapisanych i wpisywanych haseł, m.in. do poczty e-mail, bankowości i mediów społecznościowych.
• Ujawnienie poufnych dokumentów, zdjęć lub innych wrażliwych plików pobranych bezpośrednio z systemu.
• Monitorowanie za pomocą okresowych zrzutów ekranu lub, jeśli skonfigurowano, przechwytywania obrazu z kamery internetowej.
• Wykorzystanie urządzenia jako punktu zaczepienia do ataku na inne urządzenia w tej samej sieci domowej lub biurowej.

Jak zachować bezpieczeństwo

Ponieważ wykrywanie może być trudne, użytkownicy powinni koniecznie stosować pewne środki kontroli:

• Nie otwieraj załączników do wiadomości e-mail, dopóki nie sprawdzisz u zaufanego źródła, czy są one legalne.
• Upewnij się, że widzisz rzeczywisty rozszerzenia plików. Niestety, Windows pozwala użytkownikom je ukryć. W ten sposób, gdy w rzeczywistości plik będzie się nazywał invoice.pdf.vhd użytkownik widziałby tylko invoice.pdf. Aby dowiedzieć się, jak to zrobić, zobacz poniżej.
• Korzystaj z aktualnego rozwiązania antywirusowego działającego w czasie rzeczywistym, które wykrywa złośliwe oprogramowanie ukryte w pamięci.

Wyświetlanie rozszerzeń plików na Windows 10 i 11

Aby wyświetlić rozszerzenia plików w Windows 10 i 11:

• Otwórz Eksploratora ( Windows klawisz + E)
• W Windows 10, wybierz opcję Widok i zaznacz pole wyboru Rozszerzenia nazw plików .
• W Windows 11. Tę opcję znajdziesz w menu Widok > Pokaż > Rozszerzenia nazw plików .

Alternatywnie, wyszukaj opcje Eksploratora plików, aby odznaczyć op cję Ukryj rozszerzenia znanych typów plików.

W przypadku starszych wersji Windows , zapoznaj się z tym artykułem .

Od zgłaszania zagrożeń po ich usuwanie.

Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .