Microsoft: grootschalige malvertising-campagne opgedoekt
Microsofts Threat Intelligence-team ontdekte begin december 2024 dat verschillende systemen malware downloadden via GitHub-repositories. De aanvallers gebruikten de malware vervolgens om andere schadelijke softwarepakketten te installeren op de getroffen systemen. Dit gebeurde specifiek via malvertising, een techniek waarbij aanvallers schadelijke advertenties injecteren in video’s.
Aanval via schadelijke advertenties
In dit geval verschenen de advertenties op illegale streamingwebsites. Deze diensten voegden malvertising-omleidingen toe in filmframes om via pay-per-view of pay-per-click inkomsten te genereren uit malvertisingplatformen. Gebruikers werden meerdere keren doorgestuurd via schadelijke omleidingsdiensten, waarna ze op malware- of tech-supportscamwebsites terechtkwamen.
Van daaruit werden ze opnieuw doorgestuurd naar de GitHub-repositories waar de schadelijke bestanden zich bevonden. De malware die in eerste instantie werd gedownload, werd door de aanvallers gebruikt om kritieke informatie over de computers te verzamelen, zoals het besturingssysteem, de hoeveelheid beschikbaar geheugen en de schermresolutie. Vervolgens downloadde de malware software waarmee de hackers daadwerkelijk schade konden aanrichten.
In een volgende fase downloadden de aanvallers een NetSupport-trojan (RAT) van een command-and-controlserver, die ze vervolgens verankerden in het Windows-register. Daarna gingen ze aan de slag met de Lumma-infostealer-malware, waarmee hackers onder meer inloggegevens kunnen stelen. In sommige gevallen werd ook de Doenerium-malware op de pc geïnstalleerd, met vrijwel hetzelfde doel als Lumma: zo veel mogelijk gegevens stelen.
GitHub-repositories gesloten
Microsoft meldt dat de aanvallers via de GitHub-repositories bijna een miljoen apparaten hebben getroffen. De misbruikte repositories zijn inmiddels gesloten, maar Microsoft heeft geen exact aantal gedeeld. De aanvallers verspreidden hun schadelijke bestanden overigens niet alleen via GitHub, maar ook via Discord en Dropbox.
De softwaregigant benadrukt dat zowel zakelijke systemen als consumentencomputers door de aanvallen zijn getroffen. Wie er precies achter de aanval zit, is niet bekend. Microsoft schaart de hackers onder de codenaam ‘Storm-0408’, een benaming die het gebruikt voor aanvallen met infostealer-malware via onder meer SEO- en malvertisingcampagnes.
