Aanvallers verspreiden malware als vervalste Windows 11-updates

Cybercriminelen verspreiden malware als een vervalste Windows 11-download. De download wordt verspreid via nagemaakte Microsoft Windows 11 OS-downloadportals, die kwaadaardige ISO-bestanden verspreiden. In de ISO's is de Vidar-malware verstopt.

Hiervoor waarschuwt het Zscaler ThreatLabz-team. Het team ontdekte verschillende nieuw geregistreerde domeinen door het monitoren van verdacht verkeer in de Zscaler-cloud. De vervalste sites zijn gemaakt om kwaadaardige ISO-bestanden te verspreiden die leiden tot een Vidar-infostealer-infectie op het eindpunt. Deze varianten van Vidar-malware halen de Command and Control (C2)-configuratie op van door aanvallers gecontroleerde sociale-mediakanalen die worden gehost op het Telegram- en Mastodon-netwerk.

Zscaler vermoedt dat diezelfde threat actor actief gebruikmaakt van social engineering om zich voor te doen als populaire legitieme applicaties om zo Vidar-malware te verspreiden. Er is namelijk ook een een door een aanvaller gecontroleerde GitHub-repository geïdentificeerd die verschillende backdoor-versies van Adobe Photoshop host. Deze binaire bestanden die op GitHub worden gehost, verspreiden Vidar-malware met vergelijkbare tactieken om sociale-mediakanalen te misbruiken voor C2-communicatie.

Distributie van Windows 11

De threat actor registreerde vanaf 20 april 2022 verschillende domeinen die webpagina's hosten die zich voordoen als de officiële Microsoft Windows 11-downloadpagina, de nieuwste versie van het besturingssysteem. Zscaler heeft verschillende andere domeinen gevonden die door deze threat actor zijn geregistreerd, vergelijkbaar met het domein dat wordt weergegeven in de onderstaande afbeelding. Al deze domeinen werden gebruikt om kwaadaardige ISO-bestanden te verspreiden die werden vervalst als een Windows 11-download.

De threat actors die Vidar-malware verspreiden, zetten onder meer social engineering in om slachtoffers te overtuigen tot installeren van de Vidar-stealer. Dit doen ze door thema's te kiezen die verband houden met de nieuwste populaire applicaties. Zscaler adviseert gebruikers voorzichtig te zijn bij het downloaden van applicaties van internet en alleen software downloaden van de officiële websites van leveranciers.

Meer informatie is hier beschikbaar.