När hackare skapar en falsk streamingplattform för att sprida sin skadliga programvara

Hackare anslutna till skadlig programvara
BazaLoader gynnades av utvecklingen av användningsområden, gynnsam för streamingtjänster
för att skapa en falsk plattform baserad på de potentiella spakarna som internetanvändare spelar på, till exempel den berömda gratis provperioden.

Under de senaste månaderna har Covid-19 ökat fantasin hos hackare som har sett många nya möjligheter dyka upp och andra som fått mer trovärdighet av pandemin. Detta är särskilt fallet med strömningsplattformsfällan. Affiliates till BazaLoader-gruppen, som distribuerar skadlig programvara med samma namn, har skapat en komplex men formidabel infektionskedja som spelar på prenumeration och uppsägning av prenumerationer för att fånga sina offer. För att göra detta var de tvungna att använda social ingenjörskonst, och framför allt skapa en falsk streamingtjänst, vilket i offrens ögon var helt sant.

Hackare blandar rädsla för att spendera med boom i videoströmning

Upptäcktes för första gången i april 2020, den nu berömda skadliga programvaran BazaLoader (även kallad BazarLoader) är tillbaka! Cybersäkerhetsforskare på Proofpoint har upptäckt en ny kampanj som de säger kräver ” en mycket hög nivå av mänsklig interaktion “. Målet är naturligtvis att leda till att offren avrättar den ökända skadliga programvaran. Men hur ? Genom att spela på användarnas entusiasm för streamingplattformar och den kostnadsfria provperioden, som måste avslutas innan du byter till ett betalabonnemang.

BazaLoader har bestämt sig för att utnyttja ämnet uppsägning av streamingtjänster genom skadliga lockbeten. Smittkedjan börjar, ganska klassiskt, med att skicka ett mejl. Två ämnen kom ihåg att de kom tillbaka: Din provperiod M0012064753012345 kommer snart att löpa ut. Lyckligtvis har du tagit beslutet att stanna hos oss! “, eller” demofasen har gått ut! Ditt kontonummer M0272028060812345 kommer automatiskt att överföras till premiumplanen! “. Hackaren varnar sedan offret för att hans kreditkort kommer att debiteras om han inte säger upp sitt abonnemang på tjänsten. Det är här saker och ting slår in.

En helt trovärdig streaming-sajt, med riktigt falskt innehåll

Som du kan se på bilden är nästa steg att ringa offret till kundtjänsten för den berömda falska streamingtjänsten, kallad “BravoMovies”. Tanken för hackaren är att få offret att tro att han kommer att säga upp sitt abonnemang och bevara sin ekonomi om han ringer detta samtal.

På telefonen, det tredje steget, hittar vi en kundtjänstrepresentant, som sedan omdirigerar det potentiella offret till platsen för streamingplattformen, nästa steg.

Väl på den falska plattformen är resultatet ganska fantastiskt. BravoMovies verkar vid första anblicken vara en streamingtjänst för filmer och TV-innehåll. Hackarna tog sig till och med tid och omsorg för att använda falska filmaffischer, med inslag från bland annat reklambyrå, bok och det kreativa sociala nätverket Behance.

Medan charmen träder i kraft följer användaren rekommendationerna som erhållits via telefon från det falska callcentret och kommer åt webbplatsens FAQ, som fortfarande talar om för honom hur han avbryter sitt abonnemang. Detta är det femte steget i denna långa infektionskedja.

BazaLoader spelar framgångsrikt på mänsklig interaktion

På de vanligaste frågorna uppmanas användaren att följa instruktionerna för att gå till sidan “Prenumeration” på webbplatsen för att avsluta prenumerationen. Du bör veta att användaren för närvarande inte är instängd ännu. Men han är under kontroll. Du kommer att märka att den nämnda månadsavgiften ($39,99) är tillräckligt hög för att uppmuntra klick.

Genom att klicka på “Avbryt” (för att avbryta den falska prenumerationen) tvingar sajten offret att öppna ett Excel-ark, som innehåller makron. Detta är det sjätte steget i kedjan. Om någon gång makron är aktiverade tillåter de att BazaLoader laddas ner till offrets enhet. Sjunde och sista steget i infektionskedjan.

Denna kampanj, som observerades i början av maj, kunde ha varit svår att exploatera, på papperet, på grund av dess långa smittkedja, vilket också innebär ett starkt engagemang från de personer som riktas mot, med telefonsamtalet till callcentret. För i teorin, ju fler stadier det finns, desto mindre är sannolikt att attacken går hela vägen.

” Även om de är kontraintuitiva, hjälper de tekniker som används av hotaktörer i denna och liknande kampanjer till att kringgå helt automatiserade system för upptäckt av hot. Att dra nytta av ett lockbete för att avbryta streamingtjänster matchar dessutom en växande trend med användare som avbryter onlineunderhållning efter stor industritillväxt under 2020. noterar Proofpoint.

BazaLoader, skriven i det populära programmeringsspråket C++, fortsätter att plåga. Skadlig programvara, som tillåter körning av ytterligare moduler och hjälper till att ladda ransomware som Ryuk och Conti, spelar i olika mänskliga interaktionskampanjer, vilket gör att den rutinmässigt kan kringgå automatiska hotdetektionstjänster, som bara rapporterar bilagor eller länkar som finns i e-postmeddelanden.

^{_{Källa: Proofpoint}}