Phân tích chiến dịch mã độc phát tán qua lợi dụng quảng cáo Google

Một malware đánh cắp thông tin mới được gọi là Mars đã bị phát hiện trong các chiến dịch lợi dụng các phiên bản lậu của mã độc để đánh cắp thông tin được lưu trữ trong trình duyệt web và ví tiền ảo.

Chuyên gia về Malware của Morphisec, Arnold Osipov cho biết trong một báo cáo được công bố hôm thứ ba rằng: “Mars Stealer đang được phát tán thông qua các cuộc tấn công phi kỹ thuật, chiến dịch malspam, bản crack của các phần mềm lậu độc hại và keygens”.

Dựa trên Oski Stealer và được phát hiện lần đầu tiên vào tháng 6/2021, Mars Stealer được cho là đang liên tục được phát triển và có sẵn để bán trên 47 diễn đàn ngầm, các trang darknet và kênh Telegram. Chỉ với giá 160 Đô La, người mua có thể sử dụng trọn đời.

Những mã độc đánh cắp thông tin cho phép đánh cắp toàn bộ thông tin cá nhân khỏi các hệ thống bị xâm nhập, bao gồm thông tin đăng nhập được lưu trữ và cookie trình duyệt. Sau đó những thông tin này được bán trên các thị trường tội phạm hoặc được sử dụng làm bàn đạp để phát động các cuộc tấn công tiếp theo.

Sự ra mắt của Mars Stealer vào năm ngoái cũng đi kèm với sự gia tăng của các chiến dịch tấn công, một số trong số đó có liên quan đến việc sử dụng phiên bản lậu của mã độc đã được cấu hình theo cách nhằm làm lộ các tài sản quan trọng lên internet. Điều này vô tình làm rò rỉ thông tin chi tiết về cơ sở hạ tầng của các tin tặc.

Một điểm đáng chú ý khác đó là một chiến dịch được phát hiện vào tháng trước đã đánh cắp mật khẩu của sinh viên, giảng viên và nhà sản xuất nội dung, những người này đã tải xuống các phiên bản lậu bị nhiễm trojan của các ứng dụng hợp pháp.

Ngoài ra, công ty an ninh mạng cho biết rằng họ đã “xác định được các thông tin dẫn đến sự rò rỉ thông tin hoàn toàn của một nhà cung cấp cơ sở hạ tầng chăm sóc sức khỏe hàng đầu ở Canada và một số công ty dịch vụ nổi tiếng của Canada”.

Mặc dù Mars Stealer được phát tán phổ biến nhất qua các email rác có chứa tệp thực thi được nén, đường link download hoặc tài liệu được gài mã độc, nó cũng được phát tán qua các trang web nhân bản giả mạo quảng cáo các phần mềm nổi tiếng như OpenOffice sau đó được đẩy qua Google Ads.

Mục đích của việc này nhằm tận dụng các quảng cáo được xếp theo vị trí địa lý để lừa những nạn nhân tiềm năng đang tìm kiếm phần mềm gốc thay vào đó sẽ truy cập vào một trang web độc hại, cuối cùng dẫn đến việc phát tán malware.

Về phần mình, Mars Stealer được thiết kế để thu thập và lọc các dữ liệu tự động điền của trình duyệt, thông tin thẻ tín dụng, chi tiết về tiện ích mở rộng của trình duyệt, bao gồm cả thông tin của các ví tiền ảo như Metamask, Coinbase Wallet, Binance Wallet và siêu dữ liệu của hệ thống.

Tuy nhiên do tin tặc đã dùng Mars Stealer xâm nhập máy của họtrong quá trình gỡ lỗi, sai lầm của OPSEC đã cho phép các chuyên gia xác định được chiến dịch này do một người nói tiếng Nga cầm đầu. Ngoài ra họ phát hiện các chi tiết về việc đối thủ sử dụng GitLab và thông tin đăng nhập bị đánh cắp để đặt Google Ads.

Osipov cho biết: “Những tin tặc đánh cấp thông tin cung cấp một lối vào có thể truy cập được cho hoạt động tội phạm. Các công cụ như vậy giúp những tội phạm mạng mới có thể xây dựng danh tiếng mà chúng có thể sử dụng để có được những mã độc mạnh hơn từ những kẻ tinh vi hơn”.

Theo Thehackernews