Trojan podszywa się pod usługi VPN. Kradnie dane i kryptowaluty

Przeczytaj także: Trojan Shlayer gnębi użytkowników macOS

Jak czytamy w komunikacie opublikowanym przez firmę Kaspersky, jej badacze wykryli ostatnio dość nietypową kampanię cyberprzestępczą wycelowaną w użytkowników zainteresowanych podwyższaniem swojego bezpieczeństwa w sieci. Specjalnie na jej potrzeby oszuści stworzyli phishingową kopię strony internetowej popularnej usługi VPN, która służyć miała rozprzestrzenianiu trojana AZORult. Szkodnik działał pod przykrywką instalatorów dla systemu Windows i skupiał się na wykradaniu informacji osobowych oraz kryptowaluty.

Kampanię zainicjowano u schyłku listopada minionego roku rejestracją fałszywej strony internetowej. Z informacji opublikowanych przez Kaspersky wynika, że ze względu na swój szeroki zakres możliwości trojan AZORult jest powszechnie kupowany i sprzedawany na rosyjskich forach cyberprzestępczych. Szkodnik ten stanowi poważne zagrożenie dla osób, których komputery zostały zainfekowane, ponieważ potrafi gromadzić różne informacje, w tym historię przeglądanych stron, dane uwierzytelniające logowanie, ciasteczka, pliki z folderów, pliki kryptoportfeli. Trojan może także zostać wykorzystany do pobierania dalszych szkodliwych narzędzi.

Schemat działania

Odsyłacze do domeny są rozprzestrzeniane poprzez reklamy za pośrednictwem różnych sieci banerów (tzw. „malvertizing”). Potencjalna ofiara odwiedza stronę phishingową, na której zostaje nakłoniona do pobrania darmowego instalatora usługi VPN. Rezultatem instalacji fałszywej aplikacji VPN jest dodanie do systemu trojana AZORult. Po uruchomieniu szkodnik gromadzi informacje o środowisku zainfekowanego urządzenia oraz przesyła je do serwera. Na koniec cyberprzestępcy kradną kryptowalutę z dostępnych lokalnie portfeli (Electrum, Bitcoin, Etherium oraz innych), loginy oraz hasła z aplikacji FileZilla, dane uwierzytelniające konta e-mail, informacje z lokalnie zainstalowanych przeglądarek (w tym ciasteczka), dane uwierzytelniające z WinSCP, komunikatora Pidgin oraz inne informacje.

Po wykryciu kampanii wykorzystującej omawianą usługę VPN firma Kaspersky niezwłocznie poinformowała odpowiednie osoby o problemie i zablokowała fałszywą stronę internetową.

Kampania jest doskonałym przykładem, który pokazuje, jak bardzo podatne na zagrożenia są obecnie nasze dane osobowe. Aby je chronić, użytkownicy muszą zachować rozwagę i być szczególnie ostrożni podczas korzystania z internetu. Opisana kampania uświadamia również, dlaczego potrzebujemy na każdym urządzeniu rozwiązań cyberbezpieczeństwa. Jeśli chodzi o phishingowe kopie stron internetowych, użytkownicy mają duże problemy z odróżnieniem wersji prawdziwej od fałszywej. Cyberprzestępcy często żerują na popularnych markach i jest to trend, który prawdopodobnie nie osłabnie – powiedział Dmitrij Bestużew, dyrektor Globalnego Zespołu ds. Badań i Analiz firmy Kaspersky w Ameryce Łacińskiej.