Ένας keylogger (ή keystroke logger) είναι ένα είδος κακόβουλου λογισμικού που καταγράφει τα πλήκτρα που πατάει ένας χρήστης σε έναν υπολογιστή ή άλλη συσκευή εισόδου. Τα keyloggers συγκεντρώνουν πληροφορίες σχετικά με τον τρόπο που πληκτρολογείτε, συμπεριλαμβανομένων των κωδικών πρόσβασης, των ονομάτων χρηστών, των μηνυμάτων email, και άλλων ευαίσθητων πληροφοριών.
Σήμερα θα σας δείξω πως να βρείτε που στέλνονται τα στοιχεία σας όταν χρησιμοποιούμε έναν keylogger.
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας.
Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους.
Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
Η ψεύτικη εφαρμογή συναγερμού πυραύλων “RedAlert” για το Ισραήλ εγκαθιστά κατασκοπευτικό λογισμικό Android
Οι Ισραηλινοί χρήστες Android έχουν στοχοποιηθεί από μια κακόβουλη έκδοση της εφαρμογής “RedAlert – Rocket Alerts”, η οποία, ενώ προσφέρει την υποσχόμενη λειτουργικότητα, λειτουργεί ως λογισμικό κατασκοπείας στο παρασκήνιο. Το RedAlert – Rocket Alerts είναι μια νόμιμη εφαρμογή ανοιχτού κώδικα που χρησιμοποιείται από τους Ισραηλινούς πολίτες για να λαμβάνουν ειδοποιήσεις για εισερχόμενες ρουκέτες που στοχεύουν τη χώρα. Η εφαρμογή είναι ιδιαίτερα δημοφιλής, με πάνω από ένα εκατομμύριο λήψεις στο Google Play.
Από τότε που οι τρομοκράτες της Χαμάς εξαπέλυσαν την επίθεσή τους στο Νότιο Ισραήλ την περασμένη εβδομάδα, με χιλιάδες ρουκέτες, το ενδιαφέρον για την εφαρμογή έχει εκραγεί, καθώς οι άνθρωποι αναζητούσαν έγκαιρες προειδοποιήσεις για επερχόμενες αεροπορικές επιδρομές στην περιοχή τους. Σύμφωνα με την Cloudflare, χάκερ άγνωστης αιτιολογίας και προέλευσης εκμεταλλεύονται το αυξημένο ενδιαφέρον για την εφαρμογή και τον φόβο των επιθέσεων για να διανείμουν μια ψεύτικη έκδοση που εγκαθιστά λογισμικό κατασκοπείας.
Αυτή η κακόβουλη έκδοση διανέμεται από τον ιστότοπο “redalerts[.]me”, ο οποίος δημιουργήθηκε στις 12 Οκτωβρίου 2023 και περιλαμβάνει δύο κουμπιά για τη λήψη της εφαρμογής για τις πλατφόρμες iOS και Android. Η λήψη για το iOS ανακατευθύνει τον χρήστη στη σελίδα του νόμιμου έργου στο App Store της Apple, αλλά το κουμπί για το Android κατεβάζει απευθείας ένα αρχείο APK για να εγκατασταθεί στη συσκευή.
Ειδοποίηση Spyware
Το APK που κατεβάσατε χρησιμοποιεί τον νόμιμο κώδικα της πραγματικής εφαρμογής RedAlert, έτσι ώστε να περιέχει όλες τις κανονικές λειτουργίες και να εμφανίζεται ως ένα νόμιμο εργαλείο συναγερμού πυραύλων.
Ωστόσο, η Cloudflare διαπίστωσε ότι η εφαρμογή ζητά πρόσθετες άδειες από τα θύματα, συμπεριλαμβανομένης της πρόσβασης στις επαφές, τους αριθμούς, το περιεχόμενο SMS του χρήστη, τη λίστα του εγκατεστημένου λογισμικού, τα αρχεία καταγραφής κλήσεων, το IMEI του τηλεφώνου, τους συνδεδεμένους λογαριασμούς ηλεκτρονικού ταχυδρομείου και εφαρμογών και πολλά άλλα.
Κατά την εκκίνηση, η εφαρμογή ξεκινά μια υπηρεσία παρασκηνίου που κάνει κατάχρηση αυτών των δικαιωμάτων για να συλλέξει δεδομένα, να τα κρυπτογραφήσει με AES σε λειτουργία CBC και να τα φορτώσει σε μια σκληρά κωδικοποιημένη διεύθυνση IP.
Η εφαρμογή διαθέτει επίσης μηχανισμούς κατά της αποσφαλμάτωσης, κατά της εξομοίωσης και κατά των δοκιμών που την προστατεύουν από τους ερευνητές και τα εργαλεία αναθεώρησης κώδικα.
Συμβουλές ασφαλείας RedAlert
Ο ψεύτικος ιστότοπος είναι εκτός λειτουργίας τη στιγμή που γράφονται αυτές οι γραμμές. Ωστόσο, οι απειλητικοί φορείς πιθανότατα θα στραφούν σε νέο τομέα μετά την αποκάλυψη της επιχείρησής τους.
Ένας απλός τρόπος για να διακρίνετε μεταξύ της πραγματικής και της παγιδευμένης έκδοσης είναι να ελέγξετε τα δικαιώματα που ζητά η εφαρμογή κατά την εγκατάσταση ή στα οποία έχει πρόσβαση σε περίπτωση που είναι ήδη εγκατεστημένη στη συσκευή σας.
Για να το ελέγξετε αυτό, πατήστε παρατεταμένα το εικονίδιο της εφαρμογής, επιλέξτε “Πληροφορίες εφαρμογής” και πατήστε “Δικαιώματα”.
Επίσης, έχουν αναφερθεί περιπτώσεις αεροπειρατείας στην πραγματική εφαρμογή RedAlert, με χακτιβιστές να εκμεταλλεύονται ελαττώματα API για να προωθούν ψεύτικες ειδοποιήσεις στους χρήστες. Για να ελαχιστοποιήσετε την πιθανότητα τέτοιων περιστατικών, βεβαιωθείτε ότι χρησιμοποιείτε την τελευταία έκδοση της εφαρμογής που περιλαμβάνει όλες τις διαθέσιμες διορθώσεις ασφαλείας.
Σοβαρή Διαρροή Δεδομένων από την 23andMe: Επηρεάζονται 6.9 Εκατομμύρια Μέλη
Η εταιρεία γενετικής ανάλυσης 23andMe, επιβεβαίωσε ότι χάκερ, χρησιμοποιώντας κλεμμένους κωδικούς πρόσβασης, απέκτησαν πρόσβαση στις προσωπικές πληροφορίες περίπου 6,9 εκατομμυρίων μελών της.
Ενώ οι χάκερ κατάφεραν να εισέλθουν σε περίπου 14.000 λογαριασμούς, ήτοι το 0,1% των πελατών της, κατάφεραν να δουν πληροφορίες που είχαν μοιραστεί από συγγενείς με γενετικούς δεσμούς στην 23andMe, δήλωσε εκπρόσωπος.
Η 23andMe βρίσκεται σε εξέλιξη ενημέρωσης των πελατών που επηρεάστηκαν και έχει ενισχύσει την ασφάλεια των λογαριασμών απαιτώντας από τους χρήστες να δημιουργήσουν νέους κωδικούς πρόσβασης και φυσικά προστασία 2fa.
Από τους 6,9 εκατομμύρια λογαριασμούς που κατάφεραν να πάρουν πρόσβαση, στους 5,5 εκατομμύρια λογαριασμούς περιείχαν πληροφορίες για γενετικούς συγγενείς και ενδέχεται επίσης να περιλαμβάνουν ημερομηνίες γέννησης και τοποθεσίες, αν είχαν καταχωρηθεί από τους χρήστες, σύμφωνα με την 23andMe.
Η 23andMe ιδρύθηκε το 2006 και έχει έδρα στο Mountain View, Καλιφόρνια, όπου βρίσκεται και η έδρα της Google.
Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας.
Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους.
Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.
Το botnet P2PInfect αυξάνεται με κρυφές παραλλαγές κακόβουλου λογισμικού
Το botnet P2PInfect worm διανύει μια περίοδο ιδιαίτερα αυξημένου όγκου δραστηριότητας που ξεκινά στα τέλη Αυγούστου και στη συνέχεια αυξάνεται και πάλι τον Σεπτέμβριο του 2023. Το P2PInfect καταγράφηκε για πρώτη φορά από τη Μονάδα 42 τον Ιούλιο του 2023 ως κακόβουλο λογισμικό peer-to-peer που παραβιάζει τις περιπτώσεις Redis χρησιμοποιώντας ένα ελάττωμα απομακρυσμένης εκτέλεσης κώδικα σε εκτεθειμένα στο διαδίκτυο συστήματα Windows και Linux. Οι ερευνητές της Cado Security, οι οποίοι παρακολουθούν το botnet από τα τέλη Ιουλίου 2023, αναφέρουν σήμερα ότι βλέπουν παγκόσμια δραστηριότητα, με τις περισσότερες παραβιάσεις να επηρεάζουν συστήματα στην Κίνα, τις Ηνωμένες Πολιτείες, τη Γερμανία, τη Σιγκαπούρη, το Χονγκ Κονγκ, το Ηνωμένο Βασίλειο και την Ιαπωνία. Επιπλέον, η Cado αναφέρει ότι τα τελευταία δείγματα του P2PInfect διαθέτουν προσθήκες και βελτιώσεις που το καθιστούν πιο ικανό να εξαπλωθεί σε στόχους και αναδεικνύουν τη συνεχή ανάπτυξη του κακόβουλου λογισμικού.
Απότομη αύξηση της δραστηριότητας
Το Cado βλέπει δραστηριότητα του botnet του P2PInfect, γεγονός που υποδηλώνει ότι το κακόβουλο λογισμικό έχει εισέλθει σε μια νέα περίοδο σταθερότητας του κώδικα που του επιτρέπει να αυξήσει τη λειτουργία του. Οι ερευνητές αναφέρουν ότι παρατηρούν μια σταθερή αύξηση του αριθμού των αρχικών προσπαθειών πρόσβασης που πραγματοποιούνται από το P2PInfect στα honeypots τους, με αποτέλεσμα να φτάσουν τα 4.064 συμβάντα από έναν μόνο αισθητήρα στις 24 Αυγούστου 2023. Μέχρι τις 3 Σεπτεμβρίου 2023, τα συμβάντα αρχικής πρόσβασης είχαν τριπλασιαστεί, αλλά παρέμεναν σχετικά χαμηλά. Στη συνέχεια, την εβδομάδα μεταξύ της 12ης και της 19ης Σεπτεμβρίου 2023, σημειώθηκε μια έξαρση της δραστηριότητας του P2PInfect, με το Cado να καταγράφει 3.619 απόπειρες πρόσβασης μόνο κατά τη διάρκεια αυτής της περιόδου, δηλαδή μια αύξηση 600 φορές.
Νέα χαρακτηριστικά του P2PInfect
Παράλληλα με την αυξημένη δραστηριότητα, η Cado παρατήρησε νέα δείγματα που καθιστούν το P2PInfect μια πιο κρυφή και τρομερή απειλή. Πρώτον, οι δημιουργοί του κακόβουλου λογισμικού έχουν προσθέσει έναν μηχανισμό επιμονής με βάση το cron, ο οποίος αντικαθιστά την προηγούμενη μέθοδο ‘bash_logout’, ενεργοποιώντας το κύριο payload κάθε 30 λεπτά.
Επιπλέον, το P2Pinfect χρησιμοποιεί τώρα ένα (δευτερεύον) ωφέλιμο φορτίο bash για να επικοινωνεί με το κύριο ωφέλιμο φορτίο μέσω μιας τοπικής υποδοχής διακομιστή και αν η κύρια διεργασία σταματήσει ή διαγραφεί, ανακτά ένα αντίγραφο από έναν ομότιμο και το επανεκκινεί. Το κακόβουλο λογισμικό χρησιμοποιεί τώρα επίσης ένα κλειδί SSH για να αντικαταστήσει τυχόν SSH authorized_keys στο παραβιασμένο τελικό σημείο για να εμποδίσει τους νόμιμους χρήστες να συνδεθούν μέσω SSH.
Εάν το κακόβουλο λογισμικό έχει πρόσβαση root, θα πραγματοποιήσει αλλαγή κωδικού πρόσβασης για όλους τους άλλους χρήστες στο σύστημα χρησιμοποιώντας έναν αυτόματα δημιουργούμενο κωδικό πρόσβασης 10 χαρακτήρων για να τους αποκλείσει. Τέλος, το P2PInfect χρησιμοποιεί τώρα μια δομή διαμόρφωσης C για τον πελάτη του που ενημερώνεται δυναμικά στη μνήμη, ενώ προηγουμένως δεν είχε αρχείο διαμόρφωσης.
Ασαφείς στόχοι
Η Cado αναφέρει ότι οι παραλλαγές του P2PInfect που παρατήρησε πρόσφατα επιχείρησαν να αντλήσουν ένα ωφέλιμο φορτίο εξόρυξης, αλλά δεν είδαν πραγματική δραστηριότητα κρυπτοεξόρυξης σε συσκευές που έχουν παραβιαστεί. Ως εκ τούτου, δεν είναι σαφές εάν οι χειριστές κακόβουλου λογισμικού εξακολουθούν να πειραματίζονται με το τελικό βήμα της επίθεσης. Οι χειριστές του botnet μπορεί να βελτιώνουν το συστατικό του miner ή να αναζητούν αγοραστές συνδρομών στο P2PInfect, οπότε χρησιμοποιούν τον miner ως ομοίωμα για επίδειξη. Δεδομένου του μεγέθους του τρέχοντος botnet, της εξάπλωσης, των αυτο-ενημερωτικών χαρακτηριστικών και της γρήγορης επέκτασης αυτό το μήνα, το P2PInfect αποτελεί μια ουσιαστική απειλή που πρέπει να παρακολουθείτε.
