Ten blog opowiada o tym, jak próba zrobienia „właściwej rzeczy” może zaprowadzić Cię prosto w pułapkę. Osoby szukające VPN skończyło się na pobraniu złośliwego oprogramowania kradnącego dane uwierzytelniające.
Z punktu widzenia ofiary jej zaufanie było wykorzystywane na każdym kroku: zaufanie do wyszukiwarek, do znanych logo, do podpisów cyfrowych oraz do założenia, że skoro wszystko „w końcu działa”, to musi być bezpieczne.
Wyobraź sobie, że szukasz VPN Klient może połączyć się z siecią Twojego pracodawcy. Używasz swojej ulubionej wyszukiwarki i na górze wyników wyszukiwania widzisz dokładnie to, czego szukałeś: oferty, które wyglądają, jakby należały do uznanych marek w branży. Mają odpowiednie logo, odpowiednią nazwę produktu i opis, który brzmi wiarygodnie.
Jednak w przypadkach opisanych przez Microsoft mamy do czynienia z wynikami wyszukiwania, na które wpływ ma zjawisko „SEO poisoning”. Zjawisko to polega na tym, że strona internetowa osiąga wysoką pozycję w wynikach wyszukiwania bez wykupywania reklam i bez stosowania legalnych, choć żmudnych, najlepszych praktyk SEO. Zamiast tego cyberprzestępcy wykorzystują podstępne lub wręcz nielegalne metody, aby wywindować swoje strony na szczyt listy wyników.
W przypadku sfałszowanego — a może nawet sklonowany— VPN Na stronie wszystko wygląda znajomo: marka producenta, nazwa produktu i krótka informacja o bezpiecznym zdalnym dostępie. Co najważniejsze, jest tam widoczny Download Klikasz, oczekując instalatora od renomowanego dostawcy, ale strona po cichu przekierowuje Cię do pobrania wersji z GitHub, oferując plik ZIP o nazwie podobnej do VPN-CLIENT.zip.
GitHub jest ulubionym kanałem dystrybucji twórców złośliwego oprogramowania, ponieważ cieszy się powszechnym zaufaniem. W ramach tej kampanii przestępcy podpisali nawet swój plik legalnym certyfikatem, który został już unieważniony. Pobrany plik ZIP zawiera plik instalatora oprogramowania Microsoft (.msi), który prowadzi ofiarę przez standardową procedurę instalacji („Zainstaluj”, „Dalej”, „Dalej”, „Zakończ”), jednocześnie instalując w tle złośliwe pliki bibliotek DLL.
Jedna z tych bibliotek DLL, dwmapi.dll, pełni rolę modułu ładującego, uruchamiając wbudowany kod powłoki, który z kolei uruchamia inspector.dll, odmiana gatunku Hyrax program wykradający dane. Od momentu zakończenia instalacji Twój VPN Klient nie jest po prostu klientem, ale także złodziejem danych uwierzytelniających.
Kiedy zaczniesz używać swojego nowego VPN , kilka rzeczy dzieje się szybko po sobie:
- Fałszywy VPN Klient przechwytuje nazwę użytkownika, hasło i docelowy URI, a następnie przekazuje te dane do komponentu Hyrax infostealer.
- Hyrax czyta również istniejące VPN dane konfiguracyjne, gromadząc wszelkie zapisane połączenia i poświadczenia.
- Złośliwe oprogramowanie wysyła wszystkie skradzione dane do infrastruktury kontrolowanej przez atakującego.
Użytkownik widzi jedynie wiarygodnie brzmiący błąd, taki jak „nieudane połączenie” lub „problem z instalacją”. Co gorsza, złośliwe oprogramowanie wyświetla instrukcje pobierania legalnego oprogramowania. VPN klienta z oficjalnych źródeł. W niektórych przypadkach otwiera nawet przeglądarkę użytkownika na prawdziwą VPN strona internetowa. Wszystko to, oczywiście, po to, by rozwiać podejrzenia.
Reszta dzieje się w sieci pracodawcy. Atakujący może teraz zalogować się do systemu korporacyjnego. VPN Podobnie jak Ty, z kontrolowanej przez nich infrastruktury i natychmiast włączają się do normalnego ruchu zdalnego dostępu. Jeśli Twoje konto ma dostęp do współdzielonych plików, wewnętrznych paneli administracyjnych, systemów zgłoszeń lub usług w chmurze, mogą zacząć eksplorować lub nadużywać tych zasobów.
Jak unikać podróbek VPN klienci
Skoro już wiesz, na co zwrócić uwagę, masz już przewagę. Oto kilka ogólnych wskazówek, które pomogą Ci zachować bezpieczeństwo:
- Nie polegaj wyłącznie na wynikach wyszukiwania, zwłaszcza jeśli chodzi o oprogramowanie zabezpieczające. Wejdź bezpośrednio na stronę internetową producenta.
- Przed rozpoczęciem pobierania dokładnie sprawdź adres domeny. Czy nadal znajdujesz się na stronie dostawcy lub zaufanej platformie? W razie potrzeby skonsultuj się z działem IT w sprawie linku do pobrania.
- Raport „nieudany” VPN Instaluje się w systemie IT . Nie ponawiaj prób. Nieoczekiwany błąd, po którym następuje przekierowanie, powinien wzbudzić podejrzenia.
- Nie przechowuj korporacyjnych VPN dane uwierzytelniające w osobistych menedżerach haseł lub przeglądarkach.
Jeśli kiedykolwiek zainstalowałeś VPN klient z niezaufanej witryny lub nietypowej domeny, załóż, że VPN Dane uwierzytelniające mogą zostać naruszone i konieczne może być ich zresetowanie.
Przeglądaj, jakby nikt nie patrzył.
Malwarebytes Privacy VPN Szyfruje Twoje połączenie i nigdy nie rejestruje Twoich działań, więc kolejna przeczytana historia nie musi być osobista. Wypróbuj za darmo →
