Google waarschuwt voor gevaarlijke VPN-software met malware
Beveiligingsonderzoeker Tatsuhiko Ito meldt dat de PlayFulGhost-malware een backdoor bevat die sterke gelijkenissen vertoont met de Gh0st RAT-malware. De broncode van de Gh0st-malware werd al in 2008 openbaar gemaakt en wordt nog steeds actief gebruikt. Het gevaar van PlayFulGhost is dat aanvallers hiermee uitgebreide controle kunnen krijgen over de systemen van gebruikers, aldus het onderzoeksteam van de zoekgigant in een blogpost.
Verspreidingstechniek
De malware wordt momenteel op verschillende manieren verspreid: via phishingaanvallen per e-mail en door middel van ‘SEO poisoning’. Bij phishingaanvallen sturen aanvallers e-mails met bijlagen in de hoop dat ontvangers deze openen. Deze bijlagen hebben namen zoals ‘code of conduct’, waardoor het lijkt alsof het om een Word- of pdf-bestand gaat. In werkelijkheid gaat het echter om een schadelijk RAR-bestand met een .jpg-bestandsextensie. Zodra gebruikers het RAR-bestand uitpakken en het ingesloten bestand openen, wordt de malware geactiveerd.
Bij ‘SEO poisoning’ maken aanvallers misbruik van zoekmachine-optimalisatie (SEO). Door zoekresultaten te manipuleren, proberen ze hoger te eindigen in de zoekresultaten van Google, zodat meer gebruikers hun websites bezoeken. Dit gaat vaak om websites die apps promoten, zoals een VPN-dienst. Aanvallers hopen dat gebruikers de websites vertrouwen en de aangeboden apps downloaden. Net als bij het schadelijke RAR-bestand wordt de malware geactiveerd zodra de app wordt geïnstalleerd.
Gebruikers merken vaak weinig van de infectie. De malware wordt gebundeld met apps die legitiem lijken, zoals VPN-apps. Een voorbeeld hiervan is de app “LetsVPN”, die volgens Google een schadelijke backdoor bevat.
‘Nuisance activity’
De PlayFulGhost-malware geeft aanvallers verregaande toegang tot computers. Dit stelt hen in staat om activiteiten van gebruikers te monitoren en gevoelige gegevens te stelen. Daarnaast is de malware in staat om zogenaamde ‘overlastgevende acties’ uit te voeren, zoals het aanpassen van de schermresolutie, het blokkeren van muis- en toetsenbordinvoer, het openen en sluiten van de cd-romlade, of het afspelen van pieptonen. Of aanvallers deze functies actief benutten, is niet bekend.
