Ένα νέο κακόβουλο λογισμικό παριστάνει το νόμιμο πρόσθετο προσωρινής αποθήκευσης για να στοχεύσει ιστότοπους WordPress, επιτρέποντας στους φορείς απειλών να δημιουργήσουν έναν λογαριασμό διαχειριστή και να ελέγχουν τη δραστηριότητα του ιστότοπου.
Το κακόβουλο λογισμικό είναι μια κερκόπορτα με διάφορες λειτουργίες που του επιτρέπουν να διαχειρίζεται τα πρόσθετα και να κρύβεται από τα ενεργά στις παραβιασμένες ιστοσελίδες, να αντικαθιστά περιεχόμενο ή να ανακατευθύνει ορισμένους χρήστες σε κακόβουλες τοποθεσίες.
Λεπτομέρειες ψεύτικου πρόσθετου
Οι αναλυτές της Defiant, των κατασκευαστών του πρόσθετου ασφαλείας Wordfence για το WordPress, ανακάλυψαν το νέο κακόβουλο λογισμικό τον Ιούλιο κατά τον καθαρισμό ενός ιστότοπου.
Ρίχνοντας μια πιο προσεκτική ματιά στο backdoor, οι ερευνητές παρατήρησαν ότι ερχόταν “με ένα επαγγελματικής εμφάνισης εναρκτήριο σχόλιο” για να μεταμφιεστεί ως εργαλείο caching, το οποίο συνήθως βοηθά στη μείωση της καταπόνησης του διακομιστή και στη βελτίωση των χρόνων φόρτωσης της σελίδας.
Η απόφαση να μιμηθεί ένα τέτοιο εργαλείο φαίνεται σκόπιμη, διασφαλίζοντας ότι θα περάσει απαρατήρητο κατά τη διάρκεια χειροκίνητων ελέγχων. Επίσης, το κακόβουλο πρόσθετο έχει ρυθμιστεί να αποκλείει τον εαυτό του από τη λίστα των “ενεργών πρόσθετων” ως μέσο για να αποφύγει τον έλεγχο.
Το κακόβουλο λογισμικό διαθέτει τις ακόλουθες δυνατότητες:
User creation – Μια συνάρτηση δημιουργεί έναν χρήστη με όνομα ‘superadmin’ με σκληρά κωδικοποιημένο κωδικό πρόσβασης και δικαιώματα επιπέδου διαχειριστή, ενώ μια δεύτερη συνάρτηση μπορεί να αφαιρέσει αυτόν τον χρήστη για να σβήσει τα ίχνη της μόλυνσης.
Bot detection – Όταν οι επισκέπτες αναγνωρίζονταν ως bots (π.χ. ανιχνευτές μηχανών αναζήτησης), το κακόβουλο λογισμικό τους παρείχε διαφορετικό περιεχόμενο, όπως spam, προκαλώντας τους να ευρετηριάσουν τον παραβιασμένο ιστότοπο για κακόβουλο περιεχόμενο. Ως εκ τούτου, οι διαχειριστές θα μπορούσαν να δουν μια ξαφνική αύξηση της επισκεψιμότητας ή αναφορές από χρήστες που διαμαρτύρονται για ανακατεύθυνση σε κακόβουλες τοποθεσίες.
Content replacement – Το κακόβουλο λογισμικό μπορεί να μεταβάλλει τις αναρτήσεις και το περιεχόμενο της σελίδας και να εισάγει συνδέσμους ή κουμπιά spam. Στους διαχειριστές του ιστότοπου σερβίρεται μη τροποποιημένο περιεχόμενο για να καθυστερήσει η υλοποίηση της παραβίασης.
Plugin control – Οι χειριστές του κακόβουλου λογισμικού μπορούν να ενεργοποιήσουν ή να απενεργοποιήσουν εξ αποστάσεως αυθαίρετα πρόσθετα του WordPress στον ιστότοπο που έχει παραβιαστεί. Επίσης, καθαρίζει τα ίχνη του από τη βάση δεδομένων του ιστότοπου, έτσι ώστε η δραστηριότητα αυτή να παραμένει κρυφή.
Remote invocation – Το backdoor ελέγχει για συγκεκριμένες συμβολοσειρές του πράκτορα χρήστη, επιτρέποντας στους επιτιθέμενους να ενεργοποιούν εξ αποστάσεως διάφορες κακόβουλες λειτουργίες.
Προς το παρόν, η Defiant δεν παρέχει λεπτομέρειες σχετικά με τον αριθμό των ιστότοπων που έχουν παραβιαστεί με το νέο κακόβουλο λογισμικό και οι ερευνητές της δεν έχουν ακόμη προσδιορίσει τον αρχικό φορέα πρόσβασης.
Οι τυπικές μέθοδοι παραβίασης ενός ιστότοπου περιλαμβάνουν κλεμμένα διαπιστευτήρια, brute-forcing κωδικών πρόσβασης ή εκμετάλλευση ευπάθειας σε υπάρχον πρόσθετο ή θέμα.
Η Defiant κυκλοφόρησε μια υπογραφή ανίχνευσης για τους χρήστες της δωρεάν έκδοσης του Wordfence και πρόσθεσε έναν κανόνα τείχους προστασίας για την προστασία των χρηστών Premium, Care και Response από την κερκόπορτα.
Ως εκ τούτου, οι ιδιοκτήτες ιστότοπων θα πρέπει να χρησιμοποιούν ισχυρά και μοναδικά διαπιστευτήρια για τους λογαριασμούς διαχειριστών, να διατηρούν τα πρόσθετα τους ενημερωμένα και να αφαιρούν αχρησιμοποίητα πρόσθετα και χρήστες.
Ένα νέο και εξελιγμένο κακόβουλο λογισμικό backdoor με την ονομασία “Deadglyph” χρησιμοποιήθηκε σε μια επίθεση κυβερνοκατασκοπείας εναντίον μιας κυβερνητικής υπηρεσίας στη Μέση Ανατολή.
Το κακόβουλο λογισμικό Deadglyph αποδίδεται στην APT Stealth Falcon (ή αλλιώς Project Raven ή FruityArmor), μια κρατικά χρηματοδοτούμενη ομάδα χάκερ από τα Ηνωμένα Αραβικά Εμιράτα (ΗΑΕ).
Η ομάδα hacking είναι γνωστή για τη στοχοποίηση ακτιβιστών, δημοσιογράφων και αντιφρονούντων εδώ και σχεδόν μια δεκαετία.
Σε μια νέα έκθεση που δημοσιεύθηκε στο συνέδριο κυβερνοασφάλειας LABScon, ο ερευνητής της ESET Filip Jurčacko μοιράζεται ανάλυση του νέου αρθρωτού κακόβουλου λογισμικού και του τρόπου με τον οποίο μολύνει συσκευές Windows.
Επιθέσεις Deadglyph
Η ESET δεν έχει εικόνα για τα μέσα της αρχικής μόλυνσης, αλλά υπάρχει η υποψία ότι χρησιμοποιείται ένα κακόβουλο εκτελέσιμο αρχείο, πιθανώς ένα πρόγραμμα εγκατάστασης.
Ωστόσο, η ESET απέκτησε τα περισσότερα από τα συστατικά της αλυσίδας μόλυνσης για να σχηματίσει μια εικόνα του τρόπου με τον οποίο το κακόβουλο λογισμικό λειτουργεί και προσπαθεί να αποφύγει την ανίχνευση.
Η αλυσίδα φόρτωσης του Deadglyph ξεκινά με έναν φορτωτή shellcode του μητρώου (DLL) που εξάγει κώδικα από το μητρώο των Windows για να φορτώσει το συστατικό Executor (x64), το οποίο με τη σειρά του φορτώνει το συστατικό Orchestrator (.NET).
Μόνο το αρχικό συστατικό υπάρχει στο δίσκο του μολυσμένου συστήματος ως αρχείο DLL, ελαχιστοποιώντας την πιθανότητα εντοπισμού.
Η ESET αναφέρει ότι ο φορτωτής θα φορτώσει τον shellcode από το μητρώο των Windows, το οποίο είναι κρυπτογραφημένο για να κάνει την ανάλυση πιο δύσκολη.
Καθώς το συστατικό DLL αποθηκεύεται στο σύστημα αρχείων, είναι πιο πιθανό να εντοπιστεί. Εξαιτίας αυτού, οι απειλητικοί φορείς χρησιμοποίησαν μια ομογλυφική επίθεση στον πόρο VERSIONINFO χρησιμοποιώντας διακριτούς ελληνικούς και κυριλλικούς χαρακτήρες Unicode για να μιμηθούν τις πληροφορίες της Microsoft και να εμφανιστούν ως νόμιμο αρχείο των Windows.
Το στοιχείο Executor φορτώνει κρυπτογραφημένες με AES διαμορφώσεις για την κερκόπορτα, αρχικοποιεί το .NET runtime στο σύστημα, φορτώνει το .NET τμήμα της κερκόπορτας και ενεργεί ως βιβλιοθήκη της.
Τέλος, το Orchestrator είναι υπεύθυνο για τις επικοινωνίες του διακομιστή εντολών και ελέγχου (C2), χρησιμοποιώντας δύο ενότητες για την εργασία αυτή, το ‘Timer’ και το ‘Network’.
Εάν η κερκόπορτα δεν καταφέρει να δημιουργήσει επικοινωνία με τον διακομιστή C2 μετά από ένα καθορισμένο χρονικό διάστημα, ενεργοποιεί έναν μηχανισμό αυτοαφαίρεσης για να αποτρέψει την ανάλυσή της από ερευνητές και ειδικούς σε θέματα κυβερνοασφάλειας.
Αρθρωτό κακόβουλο λογισμικό
Το κακόβουλο λογισμικό Deadglyph είναι αρθρωτό, δηλαδή θα κατεβάζει νέες ενότητες από το C2 που περιέχουν διαφορετικούς κωδικούς κελύφους για να εκτελεστούν από το στοιχείο Executor.
Η χρήση μιας σπονδυλωτής προσέγγισης επιτρέπει στους φορείς απειλών να δημιουργούν νέες ενότητες ανάλογα με τις ανάγκες για να προσαρμόζουν τις επιθέσεις, οι οποίες μπορούν στη συνέχεια να προωθηθούν στα θύματα για να εκτελέσουν πρόσθετες κακόβουλες λειτουργίες.
Αυτές οι ενότητες έχουν στη διάθεσή τους τα Windows και τα προσαρμοσμένα API του Executor, με το τελευταίο να προσφέρει 39 λειτουργίες που καθιστούν δυνατή την εκτέλεση λειτουργιών αρχείων, τη φόρτωση εκτελέσιμων αρχείων, την πρόσβαση σε Token Impersonation και την εκτέλεση κρυπτογράφησης και κατακερματισμού.
Η ESET πιστεύει ότι υπάρχουν εννέα έως δεκατέσσερις διαφορετικές ενότητες, αλλά μπόρεσε να αποκτήσει μόνο τρεις: έναν δημιουργό διεργασιών, έναν συλλέκτη πληροφοριών και έναν αναγνώστη αρχείων.
Ο συλλέκτης πληροφοριών χρησιμοποιεί ερωτήματα WMI για να τροφοδοτήσει τον Orchestrator με τις ακόλουθες πληροφορίες σχετικά με το παραβιασμένο σύστημα:
operating system
network adapters
installed software
drives
services
drivers
processes
users
environment variables
security software
Ο δημιουργός διεργασιών είναι ένα εργαλείο εκτέλεσης εντολών που εκτελεί καθορισμένες εντολές ως νέα διεργασία και δίνει το αποτέλεσμα στον Orchestrator.
Η μονάδα ανάγνωσης αρχείων διαβάζει το περιεχόμενο των αρχείων και το παραδίδει στον Orchestrator, ενώ δίνει επίσης στους χειριστές τη δυνατότητα να διαγράψουν το αρχείο μετά την ανάγνωση.
Παρόλο που η ESET κατάφερε να αποκαλύψει μόνο ένα μέρος των δυνατοτήτων του κακόβουλου λογισμικού, είναι σαφές ότι το Deadglyph του Stealth Falcon είναι μια τρομερή απειλή.
Χωρίς λεπτομερείς πληροφορίες σχετικά με την αρχική μόλυνση, η προσφορά συγκεκριμένων στρατηγικών άμυνας κατά του κακόβουλου λογισμικού είναι αδύνατη.
Προς το παρόν, οι αμυντικοί μπορούν να βασίζονται στις υπάρχουσες IoC που δημοσιεύονται στην έκθεση.
Η Kyivstar Ανακτά τις Υπηρεσίες μετά από Κυβερνοεπίθεση: Οι Συνέπειες και Η Αποκατάσταση
Το μεγαλύτερο κινητό πάροχο υπηρεσιών τηλεφωνίας της Ουκρανίας, η Kyivstar, ανακοίνωσε την Τετάρτη ότι έχει αποκαταστήσει όλες τις υπηρεσίες της εντός και εκτός της χώρας, μια εβδομάδα μετά από μια μαζική κυβερνοεπίθεση που προκάλεσε ζημιές στην υποδομή των πληροφορικών και επηρέασε τα συστήματα συναγερμού αεροπορικών επιδρομών σε μερικά μέρη της χώρας.
Οι υπηρεσίες της εταιρείας, η οποία έχει περισσότερους από το μισό πληθυσμό της Ουκρανίας ως συνδρομητές κινητής τηλεφωνίας, είχαν απενεργοποιηθεί όταν οι χάκερ χρησιμοποίησαν τον λογαριασμό ενός υπαλλήλου για να πραγματοποιήσουν την επίθεση.
“Έχουμε αποκαταστήσει όλες τις υπηρεσίες 100% σε όλη την Ουκρανία, καθώς και στο εξωτερικό… Όλες οι υπηρεσίες της Kyivstar λειτουργούν χωρίς περιορισμούς,” δήλωσε ο διευθύνων σύμβουλος Oleksandr Komarov σε τηλεοπτικά σχόλια.
Μια ομάδα με το όνομα Solntsepyok, που πιστεύεται από την υπηρεσία ασφαλείας SBU της Ουκρανίας ότι συνδέεται με τη ρωσική στρατιωτική πληροφορία, ανέλαβε την ευθύνη για την επίθεση, ευχαριστώντας τους “ανήσυχους συναδέλφους” στη Kyivstar.
Η SBU έχει ανοίξει ποινική υπόθεση.
Ο Komarov είπε ότι η Kyivstar, η οποία ανήκει στην Veon (VON.AS), μια κινητή τηλεπικοινωνιακή εταιρεία με καταγραφείσα έδρα στο Άμστερνταμ, συνεργάζεται με την SBU στην εξέλιξη της έρευνας.
“Έχουμε βγάλει συμπεράσματα, και αρκετά θεμελιώδη. Πιστεύω ότι θα ισχύσουν όχι μόνο για την Kyivstar, αλλά και για πολλές εταιρείες,” πρόσθεσε.
Η κινητή internet, η φωνή και οι υπηρεσίες SMS αποκαταστάθηκαν πρώτες, αν και υπήρχαν ακόμα κάποιες τεχνικές δυσκολίες, συμπεριλαμβανομένης της Τετάρτης, όταν η φωνητική επικοινωνία επηρεάστηκε σε αρκετές περιοχές.
Οι υπηρεσίες λειτουργούν τώρα κανονικά, δήλωσε η εταιρεία σε ξεχωριστή ανακοίνωση στην πλατφόρμα κοινωνικής δικτύωσης X.
Δεν ήταν σαφές πώς οι χάκερ απέκτησαν πρόσβαση στον λογαριασμό του υπαλλήλου, δήλωσε προηγουμένως η Kyivstar, αλλά τα προσωπικά δεδομένα δεν παραβιάστηκαν.
Ασφαλής χρήση των συστημάτων ιστοσελίδων κοινωνικής δικτύωσης
Δενπρέπει να λέτε σε κανέναν τον κωδικό πρόσβασης τουεικονικούσαςπροφίλ. Όποιος έχει πρόσβαση στο προφίλ σας έχειπλήρηέλεγχοτωνδεδομένωνπου εμφανίζονται στοπροφίλ σας.
Μην βάζετεφωτογραφίες στο προφίλ σας πουδείχνουνξεκάθαρατηντοποθεσία σας(ιδίωςτο σπίτι σας, το σχολείο σας ή μέρη που συχνάζετε). Είναιλιγότεροπιθανόνασας βρουνστηφύση.
Εάνλάβετε ένα προσβλητικό ή ανεπιθύμητο μήνυμα, αναφέρετέ το στηδιαδικασίακαταγγελιών τουιστότοπου κοινωνικής δικτύωσης που χρησιμοποιείτε ή στη Safeline. Συνήθως εκφράζεται με τη λέξη “αναφορά”.
Έχετεπάντα κατάνου ότι οι πληροφορίες που δημοσιεύετε στουςιστότοπους κοινωνικής δικτύωσης είναι ευρέως προσβάσιμες.Ακόμηκαι ανδιαγράψετε το προφίλ σας, πολλές από τις πληροφορίες δεν θααφαιρεθούν και μπορείνασυνεχίσουν να είναιδιαθέσιμεςαλλού στο Διαδίκτυο.
Λάβετευπόψη ότι ότανπροσθέτετεκάποιονστη λίστα φίλων σας (ότανεπιβεβαιώνετεένααίτημαφιλίας), το άτομο αυτό μπορείνα έχει πρόσβαση στα προσωπικά σαςδεδομένα,όπωςηφωτογραφίασαςκαιταστοιχείαεπικοινωνίαςπουεμφανίζονταιστοπροφίλσας.
Αφούδημιουργήσετετο εικονικό σας προφίλ,πρέπει να μεταβείτε στο μενού ρυθμίσεων απορρήτουκαι να αλλάξετε τις προεπιλεγμένες ρυθμίσεις.
Κυβερνοασφάλεια στην Κίνα: Προειδοποίηση για Κατασκοπευτικό Λογισμικό σε Στρατηγικούς Κλάδους
Η Κίνα ανακοίνωσε ότι εντόπισε λογισμικό γεωγραφικών πληροφοριών από άλλες χώρες που ενδέχεται να θέτει σε κίνδυνο εμπιστευτικά και ευαίσθητα δεδομένα σε κλάδους κλειδιά, συμπεριλαμβανομένου του στρατιωτικού, και προειδοποίησε τα τμήματα ασφαλείας να πραγματοποιήσουν εμπεριστατωμένους ελέγχους για να περιορίσουν περαιτέρω επιθέσεις.
Το Υπουργείο Κρατικής Ασφαλείας ανέφερε ότι μια εκτενής έρευνα ανέδειξε ότι ξένο λογισμικό συστημάτων γεωγραφικών πληροφοριών χρησιμοποιείται για τη συλλογή δεδομένων – κάποια από αυτά αφορούν κρατικά μυστικά – “αποτελεί σοβαρή απειλή για την εθνική ασφάλεια της Κίνας.”
Η κυβέρνηση αποκάλυψε τον κίνδυνο σε άρθρο στο δημόσιο λογαριασμό της στο WeChat τη Δευτέρα, αλλά δεν διακρίνει καμία πληροφορία για επιχειρήσεις που κατηγορούνται για πρόσβαση στα δεδομένα ή προσδιορίζει συγκεκριμένες κινεζικές εταιρείες που επηρεάστηκαν ή στοχεύτηκαν.
Η Κίνα ανέφερε ότι οι υπεύθυνοι χρησιμοποιούν λογισμικό για τη συλλογή δεδομένων χρηστών χωρίς περιορισμούς, τοποθετώντας εσκεμμένα προεγκατεστημένα “πίσω παράθυρα” στο λογισμικό για να επιτραπεί η κυβερνοεπίθεση και η κλοπή δεδομένων.
Η κυβέρνηση ανέφερε ότι με την κλοπή δεδομένων υψηλής ακρίβειας γεωγραφικών πληροφοριών, η τρισδιάστατη γεωμορφολογική απεικόνιση συγκεκριμένων περιοχών στους τομείς των μεταφορών, της ενέργειας, του στρατιωτικού και άλλων σημαντικών τομέων μπορεί να είναι εκτεθειμένη σε απειλές.
Η Κίνα έχει λάβει αυξανόμενα μέτρα για την προστασία της εθνικής της ασφάλειας και την πρόληψη διαρροών πληροφοριών που θα μπορούσαν να πληγώσουν τους κλάδους και να βλάψουν την οικονομία της.
Η κυβέρνηση ανέφερε ότι τα τμήματα πρέπει να πραγματοποιήσουν έρευνες για τους κινδύνους ασφάλειας δεδομένων γεωγραφικών πληροφοριών, “και να διορθώσουν και να εξαλείψουν άμεσα” οποιαδήποτε απειλή.
Διαρροή δεδομένων της Air Europa: Οι πελάτες της προειδοποιήθηκαν να ακυρώσουν τις πιστωτικές τους κάρτες
Η ισπανική αεροπορική εταιρεία Air Europa, η τρίτη μεγαλύτερη αεροπορική εταιρεία της χώρας και μέλος της συμμαχίας SkyTeam, προειδοποίησε τη Δευτέρα τους πελάτες της να ακυρώσουν τις πιστωτικές τους κάρτες, αφού οι επιτιθέμενοι απέκτησαν πρόσβαση στις πληροφορίες των καρτών τους σε πρόσφατη παραβίαση δεδομένων.
“Σας ενημερώνουμε ότι πρόσφατα εντοπίστηκε ένα περιστατικό κυβερνοασφάλειας σε ένα από τα συστήματά μας, το οποίο συνίσταται σε πιθανή μη εξουσιοδοτημένη πρόσβαση στα δεδομένα της τραπεζικής σας κάρτας”, ανέφερε η Air Europa σε μηνύματα ηλεκτρονικού ταχυδρομείου που εστάλησαν στα επηρεαζόμενα άτομα και τα οποία είδε το BleepingComputer.
“Έχουμε ασφαλίσει τα συστήματά μας, διασφαλίζοντας την ορθή λειτουργία της υπηρεσίας. Επιπλέον, έχουμε προβεί στις δέουσες κοινοποιήσεις προς τις αρμόδιες αρχές και τους απαραίτητους φορείς (AEPD, INCIBE, τράπεζες κ.λπ.)”.
Τα στοιχεία των πιστωτικών καρτών που εκτέθηκαν κατά την παραβίαση περιλαμβάνουν αριθμούς καρτών, ημερομηνίες λήξης και τον τριψήφιο κωδικό CVV (Card Verification Value) στο πίσω μέρος των καρτών πληρωμής.
Η Air Europa προειδοποίησε επίσης τους πληγέντες πελάτες να ζητήσουν από τις τράπεζές τους να ακυρώσουν τις κάρτες τους που χρησιμοποιούν στον ιστότοπο της αεροπορικής εταιρείας λόγω “του κινδύνου πλαστογράφησης της κάρτας και απάτης” και “για να αποτρέψουν πιθανή δόλια χρήση”.
Οι πελάτες συμβουλεύτηκαν επίσης να μην παρέχουν τα προσωπικά τους στοιχεία ή τους κωδικούς PIN της κάρτας τους σε οποιονδήποτε επικοινωνεί μαζί τους τηλεφωνικά ή μέσω ηλεκτρονικού ταχυδρομείου και να μην ανοίγουν συνδέσμους σε μηνύματα ηλεκτρονικού ταχυδρομείου ή μηνύματα που τους προειδοποιούν για απάτες με τις κάρτες τους.
Ο αριθμός των επηρεαζόμενων πελατών παραμένει άγνωστος
Η εταιρεία δεν έχει ακόμη αποκαλύψει πόσοι από τους πελάτες της επηρεάστηκαν από την παραβίαση των δεδομένων, την ημερομηνία παραβίασης των συστημάτων της και πότε εντοπίστηκε το περιστατικό.
Εκπρόσωπος της Air Europa δεν ήταν διαθέσιμος για σχόλια όταν επικοινώνησε με το BleepingComputer νωρίτερα σήμερα.
Πριν από δύο χρόνια, τον Μάρτιο του 2021, η Ισπανική Υπηρεσία Προστασίας Δεδομένων (DPA) επέβαλε επίσης πρόστιμο 600.000 ευρώ στην αεροπορική εταιρεία για παραβίαση του Γενικού Κανονισμού Προστασίας Δεδομένων της Ευρωπαϊκής Ένωσης (ΓΚΠΔ της ΕΕ) και για την ενημέρωση της υπηρεσίας προστασίας της ιδιωτικής ζωής για την παραβίαση των δεδομένων περισσότερο από 40 ημέρες αργότερα.
Η παραβίαση δεδομένων το 2021 επηρέασε περίπου 489.000 άτομα, με τους επιτιθέμενους να αποκτούν πρόσβαση στα στοιχεία επικοινωνίας και τραπεζικών λογαριασμών τους (αριθμούς καρτών, ημερομηνίες λήξης και κωδικούς CVV) που ήταν αποθηκευμένα σε 1.500.000 αρχεία δεδομένων.
Ενώ οι εγκληματίες χρησιμοποίησαν τα δεδομένα περίπου 4.000 τραπεζικών καρτών σε δόλιες δραστηριότητες, η Air Europa χαρακτήρισε την παραβίαση ως περιστατικό μέσου κινδύνου και επέλεξε να μην ενημερώσει τα πληγέντα άτομα.
Η ψεύτικη εφαρμογή συναγερμού πυραύλων “RedAlert” για το Ισραήλ εγκαθιστά κατασκοπευτικό λογισμικό Android
Οι Ισραηλινοί χρήστες Android έχουν στοχοποιηθεί από μια κακόβουλη έκδοση της εφαρμογής “RedAlert – Rocket Alerts”, η οποία, ενώ προσφέρει την υποσχόμενη λειτουργικότητα, λειτουργεί ως λογισμικό κατασκοπείας στο παρασκήνιο. Το RedAlert – Rocket Alerts είναι μια νόμιμη εφαρμογή ανοιχτού κώδικα που χρησιμοποιείται από τους Ισραηλινούς πολίτες για να λαμβάνουν ειδοποιήσεις για εισερχόμενες ρουκέτες που στοχεύουν τη χώρα. Η εφαρμογή είναι ιδιαίτερα δημοφιλής, με πάνω από ένα εκατομμύριο λήψεις στο Google Play.
Από τότε που οι τρομοκράτες της Χαμάς εξαπέλυσαν την επίθεσή τους στο Νότιο Ισραήλ την περασμένη εβδομάδα, με χιλιάδες ρουκέτες, το ενδιαφέρον για την εφαρμογή έχει εκραγεί, καθώς οι άνθρωποι αναζητούσαν έγκαιρες προειδοποιήσεις για επερχόμενες αεροπορικές επιδρομές στην περιοχή τους. Σύμφωνα με την Cloudflare, χάκερ άγνωστης αιτιολογίας και προέλευσης εκμεταλλεύονται το αυξημένο ενδιαφέρον για την εφαρμογή και τον φόβο των επιθέσεων για να διανείμουν μια ψεύτικη έκδοση που εγκαθιστά λογισμικό κατασκοπείας.
Αυτή η κακόβουλη έκδοση διανέμεται από τον ιστότοπο “redalerts[.]me”, ο οποίος δημιουργήθηκε στις 12 Οκτωβρίου 2023 και περιλαμβάνει δύο κουμπιά για τη λήψη της εφαρμογής για τις πλατφόρμες iOS και Android. Η λήψη για το iOS ανακατευθύνει τον χρήστη στη σελίδα του νόμιμου έργου στο App Store της Apple, αλλά το κουμπί για το Android κατεβάζει απευθείας ένα αρχείο APK για να εγκατασταθεί στη συσκευή.
Ειδοποίηση Spyware
Το APK που κατεβάσατε χρησιμοποιεί τον νόμιμο κώδικα της πραγματικής εφαρμογής RedAlert, έτσι ώστε να περιέχει όλες τις κανονικές λειτουργίες και να εμφανίζεται ως ένα νόμιμο εργαλείο συναγερμού πυραύλων.
Ωστόσο, η Cloudflare διαπίστωσε ότι η εφαρμογή ζητά πρόσθετες άδειες από τα θύματα, συμπεριλαμβανομένης της πρόσβασης στις επαφές, τους αριθμούς, το περιεχόμενο SMS του χρήστη, τη λίστα του εγκατεστημένου λογισμικού, τα αρχεία καταγραφής κλήσεων, το IMEI του τηλεφώνου, τους συνδεδεμένους λογαριασμούς ηλεκτρονικού ταχυδρομείου και εφαρμογών και πολλά άλλα.
Κατά την εκκίνηση, η εφαρμογή ξεκινά μια υπηρεσία παρασκηνίου που κάνει κατάχρηση αυτών των δικαιωμάτων για να συλλέξει δεδομένα, να τα κρυπτογραφήσει με AES σε λειτουργία CBC και να τα φορτώσει σε μια σκληρά κωδικοποιημένη διεύθυνση IP.
Η εφαρμογή διαθέτει επίσης μηχανισμούς κατά της αποσφαλμάτωσης, κατά της εξομοίωσης και κατά των δοκιμών που την προστατεύουν από τους ερευνητές και τα εργαλεία αναθεώρησης κώδικα.
Συμβουλές ασφαλείας RedAlert
Ο ψεύτικος ιστότοπος είναι εκτός λειτουργίας τη στιγμή που γράφονται αυτές οι γραμμές. Ωστόσο, οι απειλητικοί φορείς πιθανότατα θα στραφούν σε νέο τομέα μετά την αποκάλυψη της επιχείρησής τους.
Ένας απλός τρόπος για να διακρίνετε μεταξύ της πραγματικής και της παγιδευμένης έκδοσης είναι να ελέγξετε τα δικαιώματα που ζητά η εφαρμογή κατά την εγκατάσταση ή στα οποία έχει πρόσβαση σε περίπτωση που είναι ήδη εγκατεστημένη στη συσκευή σας.
Για να το ελέγξετε αυτό, πατήστε παρατεταμένα το εικονίδιο της εφαρμογής, επιλέξτε “Πληροφορίες εφαρμογής” και πατήστε “Δικαιώματα”.
Επίσης, έχουν αναφερθεί περιπτώσεις αεροπειρατείας στην πραγματική εφαρμογή RedAlert, με χακτιβιστές να εκμεταλλεύονται ελαττώματα API για να προωθούν ψεύτικες ειδοποιήσεις στους χρήστες. Για να ελαχιστοποιήσετε την πιθανότητα τέτοιων περιστατικών, βεβαιωθείτε ότι χρησιμοποιείτε την τελευταία έκδοση της εφαρμογής που περιλαμβάνει όλες τις διαθέσιμες διορθώσεις ασφαλείας.
Ασφαλής χρήση παιχνιδιών εικονικής πραγματικότητας
Οι γονείς πρέπει να γνωρίζουντα παιχνίδια εικονικής πραγματικότητας (δηλαδήτις υπηρεσίες και τα προϊόντα που προσφέρουν)καιναέχουνεπίγνωσητουτρόπουμετονοποίο τα παιδιά τουςπερνούν το χρόνο τους στο διαδίκτυο.
Ενεργοποιήστε το λογαριασμό του παιδιού σας στο επιλεγμένο παιχνίδι εικονικής πραγματικότητας χρησιμοποιώντας το emailσας.
Ελέγξτε ανυπάρχουνεργαλείαγονικούελέγχουήφιλτραρίσματοςτουδιαδικτύουστονεικονικόκόσμοπου χρησιμοποιεί το παιδί και βεβαιωθείτε ότι τα εργαλεία αυτάείναιενεργοποιημένα.Ηεπαλήθευσητης ηλικίας πραγματοποιείται συνήθως κατά την αγορά ενόςπροϊόντος.Προςτο παρόν δεν υπάρχει σύστημα που να εγγυάται την επαλήθευση της ηλικίας.
Υπάρχουν εργαλεία που εμποδίζουν την πρόσβαση σε ανεπιθύμητους ιστότοπους.Συνιστάταιηχρήσητους.
Ηεπεξεργασία ευαίσθητων προσωπικών δεδομένων, η πρόσβαση σε δωμάτια συνομιλίας,ηαποστολή διαφημιστικών μηνυμάτωνηλεκτρονικούταχυδρομείου,η επικοινωνία με παιδιά μέσω κινητού τηλεφώνου, ησυλλογή δεδομένωνπαιδιών στοδιαδίκτυοκαι ηχρήση των δεδομένωνγια διαφημιστικούς σκοπούςαπαιτούνσυνήθωςτησυγκατάθεση των γονέων. Εξετάστε προσεκτικά αυτές τις επιλογές.