მავნე პროგრამის გავრცელება იმ დომენის რეკლამით, რომელიც არ განსხვავდება KeePass პროექტის დომენისგან

Malwarebytes Labs-ის მკვლევარებმა დაადგინეს ყალბი ვებსაიტის პოპულარიზაცია პაროლის უფასო მენეჯერისთვის KeePass-ისთვის, რომელიც მავნე პროგრამებს ავრცელებს Google სარეკლამო ქსელის მეშვეობით. თავდასხმის თავისებურება იყო „ķeepass.info“ დომენის თავდამსხმელების მიერ გამოყენება, რომელიც ერთი შეხედვით მართლწერით არ განსხვავდება პროექტის „keepass.info“ ოფიციალური დომენისგან. Google-ში საკვანძო სიტყვის „keepass“ ძიებისას, ყალბი საიტის რეკლამა პირველ ადგილზე იყო განთავსებული, ოფიციალური საიტის ბმულამდე.

მომხმარებლების მოსატყუებლად გამოიყენეს დიდი ხნის ცნობილი ფიშინგის ტექნიკა, რომელიც დაფუძნებულია ჰომოგლიფების შემცველი ინტერნაციონალიზებული დომენების (IDN) რეგისტრაციაზე - სიმბოლოები, რომლებიც ჰგავს ლათინურ ასოებს, მაგრამ აქვთ განსხვავებული მნიშვნელობა და აქვთ საკუთარი უნიკოდის კოდი. კერძოდ, დომენი „ķeepass.info“ რეალურად რეგისტრირებულია, როგორც „xn--eepass-vbb.info“ punycode აღნიშვნით და თუ ყურადღებით დააკვირდებით მისამართების ზოლში მითითებულ სახელს, შეგიძლიათ იხილოთ წერტილი ასოს ქვეშ „ ķ”, რომელიც აღიქმება მომხმარებლების უმრავლესობის მიერ, როგორც ლაქა ეკრანზე. ღია საიტის ავთენტურობის ილუზია გაძლიერდა იმით, რომ ყალბი საიტი გაიხსნა HTTPS-ის მეშვეობით სწორი TLS სერტიფიკატით, რომელიც მიღებული იყო ინტერნაციონალიზებული დომენისთვის.

ბოროტად გამოყენების დაბლოკვის მიზნით, რეგისტრატორები არ იძლევიან IDN დომენების რეგისტრაციას, რომლებიც აერთიანებს სხვადასხვა ანბანის სიმბოლოებს. მაგალითად, მოჩვენებითი დომენი apple.com ("xn--pple-43d.com") არ შეიძლება შეიქმნას ლათინური "a" (U+0061) კირილიცის "a" (U+0430) ჩანაცვლებით. დომენის სახელში ლათინური და უნიკოდ სიმბოლოების შერევა ასევე დაბლოკილია, მაგრამ არსებობს გამონაკლისი ამ შეზღუდვისგან, რითაც სარგებლობენ თავდამსხმელები - ნებადართულია იმავე ანბანის ლათინური სიმბოლოების ჯგუფის უნიკოდის სიმბოლოებთან შერევა. დომენი. მაგალითად, ასო „ķ“, რომელიც გამოიყენება განსახილველ თავდასხმაში, ლატვიური ანბანის ნაწილია და მისაღებია ლატვიურ ენაზე დომენებისთვის.

Google-ის სარეკლამო ქსელის ფილტრების გვერდის ავლით და ბოტების გასაფილტრად, რომლებსაც შეუძლიათ მავნე პროგრამების აღმოჩენა, სარეკლამო ბლოკის მთავარ ბმულად განისაზღვრა შუალედური ფენის საიტი keepassstacking.site, რომელიც გადამისამართებს მომხმარებლებს, რომლებიც აკმაყოფილებენ გარკვეულ კრიტერიუმებს ცრუ დომენზე „ķeepass“. .info”.

მოჩვენებითი საიტის დიზაინი იყო სტილიზებული ისე, რომ დაემსგავსა ოფიციალური KeePass ვებსაიტს, მაგრამ შეიცვალა უფრო აგრესიულად დაყენებული პროგრამების ჩამოტვირთვით (შენარჩუნებული იყო ოფიციალური ვებსაიტის ამოცნობა და სტილი). Windows პლატფორმის ჩამოტვირთვის გვერდმა შესთავაზა msix ინსტალერი, რომელიც შეიცავს მავნე კოდს, რომელსაც მოჰყვა მოქმედი ციფრული ხელმოწერა. თუ გადმოწერილი ფაილი შესრულდა მომხმარებლის სისტემაზე, დამატებით გაშვებული იყო FakeBat სკრიპტი, რომელიც ჩამოტვირთავდა მავნე კომპონენტებს გარე სერვერიდან მომხმარებლის სისტემაზე თავდასხმის მიზნით (მაგალითად, კონფიდენციალური მონაცემების გადასაჭრელად, ბოტნეტთან დასაკავშირებლად ან კრიპტო საფულის ნომრების ჩანაცვლებისთვის. ბუფერში).

წყარო: opennet.ru