Este blog aborda como tentar fazer a "coisa certa" pode levar você direto para uma armadilha. Pessoas que buscam uma VPN Acabei baixando um malware que rouba credenciais.
Do ponto de vista da vítima, sua confiança foi explorada em todas as etapas: confiança nos mecanismos de busca, nos logotipos conhecidos, nas assinaturas digitais e na suposição de que, se as coisas “funcionam no final”, devem ser seguras.
Imagine que você está procurando por um VPN Você precisa conectar seu cliente à rede do seu empregador. Você usa seu mecanismo de busca favorito e, no topo dos resultados, vê exatamente o que procurava: anúncios que parecem pertencer a empresas consolidadas no setor. Eles têm o logotipo certo, o nome do produto certo e uma descrição que soa legítima.
Mas o que você está vendo, nos casos descritos pela Microsoft, são resultados de pesquisa influenciados pelo envenenamento de SEO. O envenenamento de SEO (Search Engine Optimization) consiste em fazer com que uma página da web apareça em posições de destaque nos resultados de pesquisa relevantes sem comprar anúncios ou seguir as práticas recomendadas de SEO, que são legítimas, mas tediosas. Em vez disso, os cibercriminosos utilizam meios enganosos ou abertamente ilegais para impulsionar suas páginas para o topo.
No que foi falsificado — talvez até clonado— VPN Na página, tudo parece familiar: a marca do fornecedor, o nome do produto e um breve texto sobre acesso remoto seguro. Mais importante ainda, há um destaque para o produto. Download Você clica no botão, esperando um instalador de um fornecedor confiável, mas o site silenciosamente o redireciona para um download de uma versão do GitHub, oferecendo um arquivo ZIP com um nome parecido com... VPN-CLIENT.zip.
O GitHub é um canal de distribuição preferido pelos criadores de malware, pois goza de ampla confiança. Nesta campanha, os criminosos chegaram a assinar seu arquivo com um certificado legítimo, que já foi revogado. O arquivo ZIP baixado contém um arquivo do Microsoft Software Installer (.msi) que conduz a vítima pela rotina habitual de “Instalar”, “Avançar”, “Avançar” e “Concluir”, enquanto instala arquivos maliciosos de biblioteca de ligação dinâmica (DLL) paralelamente durante o processo.
Uma dessas DLLs, dwmapi.dll, está atuando como um carregador, executando um shellcode incorporado que, por sua vez, é executado inspector.dll, uma variante do damão programa de roubo de informaçõesA partir do momento em que a instalação for concluída, seu VPN O cliente não é apenas um cliente, mas também um ladrão de credenciais.
Quando você começar a usar seu novo VPN , várias coisas acontecem em rápida sucessão:
- O falso VPN O cliente captura seu nome de usuário, senha e URI de destino e entrega esses dados ao componente de roubo de informações Hyrax.
- Hyrax também lê o que já existe. VPN dados de configuração, incluindo quaisquer conexões armazenadas e credenciais salvas.
- O malware envia todas as informações roubadas para uma infraestrutura controlada pelo invasor.
O usuário vê apenas uma mensagem de erro plausível, como "falha na conexão" ou "problema na instalação". Para piorar a situação, o malware fornece instruções para baixar o arquivo legítimo. VPN cliente de fontes oficiais. Em certos casos, chega até a abrir o navegador do usuário no site real. VPN site. Tudo isso, claro, para dissipar suspeitas.
O restante ocorre na rede do empregador. O invasor agora pode acessar a rede corporativa. VPN Assim como você, eles podem acessar a infraestrutura que controlam e se misturar imediatamente ao tráfego normal de acesso remoto. Se sua conta tiver acesso a compartilhamentos de arquivos, painéis de administração internos, sistemas de tickets ou serviços em nuvem, eles podem começar a explorar ou abusar desses recursos.
Como evitar produtos falsificados VPN clientes
Agora que você já sabe no que deve prestar atenção, já está um passo à frente. Aqui vão mais algumas dicas gerais para se manter seguro:
- Nunca confie apenas nos resultados de pesquisa, especialmente quando se trata de software de segurança. Acesse diretamente o site do fornecedor.
- Verifique novamente o domínio antes de fazer o download. Você ainda está no site do fornecedor ou em uma plataforma confiável? Se necessário, verifique o link de download com o seu departamento de TI.
- Relatório "falhou" VPN A instalação é de responsabilidade da TI . Não continue tentando. Uma falha inesperada seguida de um redirecionamento deve ser um sinal de alerta.
- Não armazene informações corporativas. VPN credenciais em gerenciadores de senhas pessoais ou navegadores.
Se você já instalou um VPN Se você é cliente de um site não confiável ou de um domínio incomum, assuma que seu VPN As credenciais podem ter sido comprometidas; solicite uma redefinição.
Navegue como se ninguém estivesse olhando.
Malwarebytes Privacy VPN Criptografa sua conexão e nunca registra o que você faz, então a próxima história que você ler não precisa parecer pessoal. Experimente grátis →
