Darmowy Netflix? Z FlixOnline go nie otrzymasz. Zamiast tego przest\u0119pcy przejm\u0105 twoje sesje WhatsApp i dane karty<\/strong><\/h2>\n\n\nAplikacja FlixOnline przyci\u0105gn\u0119\u0142a u\u017cytkownik\u00f3w obietnic\u0105 bezp\u0142atnej subskrypcji Netflix Premium. Jednak zamiast dwumiesi\u0119cznej finansowej wolno\u015bci u\u017cytkownicy otrzymali malware, kt\u00f3ry przej\u0105\u0142 ich sesje WhatsApp i sprawnie rozprzestrzeni\u0142 si\u0119 w ramach sieci ich kontakt\u00f3w.<\/p>\n\n\n\n
Zesp\u00f3\u0142 Check Point Research ustali\u0142, \u017ce szkodliwe oprogramowanie jest stanie przechwytywa\u0107 powiadomienia WhatsApp i wykonywa\u0107 predefiniowane dzia\u0142ania, takie jak Odrzu\u0107 lub Odpowied\u017a za po\u015brednictwem Mened\u017cera powiadomie\u0144.<\/p>\n\n\n\n
Po zako\u0144czeniu instalacji, FlixOnline prosi o nadanie bardzo szerokich uprawnie\u0144 \u2013 czyli przest\u0119pcy wykorzystuj\u0105 popularny trick maj\u0105cy na celu kradzie\u017c danych uwierzytelniaj\u0105cych do us\u0142ug. Aplikacja prosi r\u00f3wnie\u017c o zignorowanie optymalizacji baterii (\u2018Battery Optimization Ignore\u2019), co zapobiega automatycznemu wy\u0142\u0105czaniu urz\u0105dzenia w celu oszcz\u0119dzenia energii. Na koniec program chce jeszcze uzyska\u0107 dost\u0119p do komunikacji powi\u0105zanej z WhatsApp \u2013 chodzi o dost\u0119p do powiadomie\u0144.<\/p>\n\n\n\n
Kolejny krok przest\u0119pc\u00f3w? Wykradzenie danych logowania do konta Netflix oraz danych p\u0142atniczych. Je\u015bli jeszcze kto\u015b ma w\u0105tpliwo\u015bci, atakuj\u0105cy s\u0105 najbardziej zainteresowani numerami kart kredytowych i kart p\u0142atniczych. Je\u015bli ofiara je poda, po kilku sekundach dane znajduj\u0105 si\u0119 ju\u017c na serwerze Command&Control, czyli w coraz bogatszych r\u0119kach przest\u0119pc\u00f3w.<\/p>\n\n\n
Jest bezpiecznie\u2026 ale malware grasuje w najlepsze<\/strong><\/h5>\n\n\nI w tym miejscu przechodzimy do sedna problemu. Aplikacja FlixOnline by\u0142a dost\u0119pna w Google Play przez okres dw\u00f3ch miesi\u0119cy. W tym czasie pobrano j\u0105 oko\u0142o 500 razy. Co jest w zasadzie dobr\u0105 informacj\u0105. Tylko w ci\u0105gu ostatnich sze\u015bciu miesi\u0119cy odpalono kilka bardziej udanych (czyt. gro\u017aniejszych) kampanii. Jednak problem le\u017cy w tym wypadku gdzie indziej. Z\u0142o\u015bliwe oprogramowanie by\u0142o w stanie omin\u0105\u0107 system uwierzytelniania aplikacji w sklepie Google Play. W tym przypadku wbudowane zabezpieczenia Sklepu Play zawiod\u0142y ca\u0142kowicie. Nasuwa si\u0119 wi\u0119c pytanie, ile jeszcze zagro\u017ce\u0144 czeka na wykrycie?<\/p>\n\n\n\n
\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\nSzukasz pracy? Uwa\u017caj na idealne oferty pracy na Linkedin – to malware!<\/strong><\/h2>\n\n\nNowa kampania typu spear-phishing na Linkedin wykorzystuje spersonalizowane oferty pracy w celu zainfekowania ofiar backdoorem o nazwie \u201cmore_eggs\u201d.<\/p>\n\n\n\n
W celu zwi\u0119kszenia szans powodzenia kampanii oraz wsp\u00f3\u0142czynnika otwieralno\u015bci, z\u0142o\u015bliwe oferty – pliki archiw\u00f3w ZIP – maj\u0105 dok\u0142adnie tak\u0105 sam\u0105 nazw\u0119 jak tytu\u0142y stanowisk ofiar z ich profilu na Linkedin. Przyk\u0142adowo, je\u017celi ofiara pracuje jako Account Manager, z\u0142o\u015bliwy plik b\u0119dzie nosi\u0142 nazw\u0119 Account Manager position (s\u0142owo \u201cposition\u201d jest dodane na ko\u0144cu). Wystarczy otworzy\u0107 tajemnicz\u0105 ofert\u0119 pracy, aby nie\u015bwiadomie zainicjowa\u0107 instalacj\u0119 bezplikowego backdoora o nazwie more_eggs. Po za\u0142adowaniu pr\u00f3buje on pobiera\u0107 dodatkowe z\u0142o\u015bliwe wtyczki i zapewnia bezpo\u015bredni dost\u0119p do komputera ofiary – twierdz\u0105 specjali\u015bci z eSentire Threat Response Unit w swojej analizie. Ponadto backdoor ten mo\u017ce dzia\u0142a\u0107 jako kana\u0142 do pobierania dodatkowych \u0142adunk\u00f3w z serwera kontrolowanego przez atakuj\u0105cych. Takich jak trojany bankowe, ransomware, credential stealer czy zaszczepi\u0107 si\u0119 w sieci w celu eksfiltracji danych. <\/p>\n\n\n\n
Trojan wykorzystuje r\u00f3wnie\u017c legalne procesy systemu Windows, takie jak WMI, w celu unikni\u0119cia wykrycia przez tradycyjne narz\u0119dzia antywirusowe.<\/p>\n\n\n\n
Kampanie more_eggs o tym samym modus operandi by\u0142y obserwowane od 2018 roku, a sam backdoor zosta\u0142 przypisany do grupy Golden Chickens i dystrybuowany w modelu MaaS (Malware-as-a-Service \/ Malware jako us\u0142uga). Autorzy najnowszej kampanii nie s\u0105 jeszcze znani – more_eggs by\u0142o w przesz\u0142o\u015bci wykorzystywane przez r\u00f3\u017cne grupy przest\u0119pcze, takie jak FIN6, Cobalt i EvilNum. <\/p>\n\n\n\n
Uwa\u017ca si\u0119, \u017ce grupa wykorzystuje du\u017c\u0105 liczb\u0119 zwolnie\u0144 w wyniku COVID-19 do popularyzowania tej kampanii.<\/p>\n\n\n\n
\u0179r\u00f3d\u0142a 1<\/a> | 2<\/a><\/p>\n\n\n\n![\"\"](\"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2021\/04\/git-guide-pl.png\")
<\/a><\/figure><\/div>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\nDiscord i Slack pe\u0142ne malware \u2013 skan tylko jednej z sieci zaowocowa\u0142 wykryciem 20 tys. wirus\u00f3w!<\/strong><\/h2>\n\n\nNadu\u017cywanie aplikacji do wsp\u00f3\u0142pracy nie jest nowym zjawiskiem. Zmiana modelu pracy wywo\u0142ana przez pandemi\u0119 Covid-19 doprowadzi\u0142a do zwi\u0119kszonego uzale\u017cnienia od platform komunikacyjnych, takich jak Discord i Slack. A tam gdzie znajduj\u0105 si\u0119 potencjalne ofiary, pojawi\u0105 si\u0119 te\u017c przest\u0119pcy. Nie jest wi\u0119c niczym zaskakuj\u0105cym, \u017ce wspomniane platformy zosta\u0142y zinfiltrowane i s\u0142u\u017c\u0105 do rozprzestrzeniania cyberzagro\u017ce\u0144 i prowadzenia kampanii. <\/p>\n\n\n\n
Aktywne oprogramowanie typu RAT i stealery: Agent Tesla, AsyncRAT, Formbook i wiele innych.<\/p>\n\n\n
Dlaczego cyberprzest\u0119pcy przenie\u015bli si\u0119 do aplikacji wspomagaj\u0105cych wsp\u00f3\u0142prac\u0119<\/strong><\/h5>\n\n\nCyberprzest\u0119pcy planuj\u0105c kampanie musz\u0105 rozwi\u0105za\u0107 kilka problem\u00f3w \u2013 jednym z nich jest zapewnienie trwa\u0142o\u015bci plik\u00f3w, domen lub te\u017c system\u00f3w, kt\u00f3re odpowiadaj\u0105 za rozprzestrzenianie si\u0119 z\u0142o\u015bliwego oprogramowania. Chodzi dok\u0142adnie o to, aby mie\u0107 gwarancj\u0119 \u017ce nie zostan\u0105 one za szybko usuni\u0119te lub zablokowane. Migracja dla aplikacji takich jak Discord, czy Slack znacznie zwi\u0119kszy\u0142a prawdopodobie\u0144stwo tego, \u017ce z\u0142o\u015bliwy za\u0142\u0105cznik dotrze do u\u017cytkownika ko\u0144cowego. Platformy i aplikacje umo\u017cliwiaj\u0105ce wsp\u00f3\u0142prac\u0119 bazuj\u0105 na sieci dostarczania tre\u015bci (CDN) do przechowywania plik\u00f3w udost\u0119pnianych w kana\u0142ach. We\u017amy jako przyk\u0142ad aplikacj\u0119 Slack. Pliki mo\u017cna przesy\u0142a\u0107 (wgrywa\u0107), a u\u017cytkownicy mog\u0105 tworzy\u0107 linki zewn\u0119trzne, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do zasob\u00f3w, niezale\u017cnie od tego, czy odbiorca ma nawet zainstalowan\u0105 aplikacj\u0119 Slack. W momencie kiedy cyberzagro\u017cenie uniknie wykrycia przez systemy monitoruj\u0105ce, przed przest\u0119pcami kolejne trudne zadanie. Musz\u0105 jeszcze przekona\u0107 u\u017cytkownika aby klikn\u0105\u0142 w link lub otworzy\u0142 uzbrojony link plik. Kiedy taki zas\u00f3b jest jednak dost\u0119pny w ramach zaufanej platformy biznesowej, zadanie staje si\u0119 du\u017co prostsze.<\/p>\n\n\n\n
Migracja pozwoli\u0142a r\u00f3wnie\u017c operatorom malware (i innych zagro\u017ce\u0144) dostarczy\u0107 z\u0142o\u015bliwe payload do CDN za po\u015brednictwem zaszyfrowanego protoko\u0142u HTTPS, i w skompresowanej formie – co dodatkowo maskuje zawarto\u015b\u0107. W ci\u0105gu ostatniego roku Tallos Intelligence Team – kt\u00f3ry przeprowadzi\u0142 szeroko zakrojone badania w tym zakresie – zaobserwowa\u0142 wiele popularnych algorytm\u00f3w kompresji, w tym .ACE, .GZ, .TAR i .ZIP oraz kilka mniej popularnych typ\u00f3w, takich jak .LZH.<\/p>\n\n\n\n
Sieci CDN s\u0105 r\u00f3wnie\u017c przydatne w procesie dostarczania dodatkowych b\u0142\u0119d\u00f3w i podatno\u015bci w ramach tzw. taktyki wieloetapowego infekowania. Badacze odkryli, \u017ce jedno wyszukiwanie Discord CDN da\u0142o prawie 20 000 wynik\u00f3w w VirusTotal! Ta technika by\u0142a cz\u0119sto u\u017cywana w kampaniach zwi\u0105zanych z RATami, stealerami i innymi typami z\u0142o\u015bliwego oprogramowania zwykle u\u017cywanymi do wyci\u0105gania poufnych informacji z zainfekowanych system\u00f3w.<\/p>\n\n\n\n
Atakuj\u0105cy przekszta\u0142cili r\u00f3wnie\u017c API Discord w skuteczne narz\u0119dzie do eksfiltracji danych z sieci. Komunikacja C2 jest mo\u017cliwa za po\u015brednictwem webhook\u00f3w, kt\u00f3re oryginalnie opracowano z my\u015bl\u0105 wysy\u0142aniu automatycznych wiadomo\u015bci do okre\u015blonego serwera Discord.<\/p>\n\n\n
Jak ograniczy\u0107 zagro\u017cenia?<\/strong><\/h5>\n\n\nWi\u0119kszo\u015b\u0107 organizacji korzysta dzi\u015b z kilku lub te\u017c kilkunastu narz\u0119dzi komunikacyjnych. Najcz\u0119\u015bciej u\u017cywane s\u0105 poczta e-mail, platformy do wsp\u00f3\u0142pracy i komunikacji, czaty, platformy konferencyjne (Zoom, Go to Webinar i Go to Meeting itp.) a tak\u017ce\u2026 stare, dobre sms-y. W niekt\u00f3rych przypadkach u\u017cytkownicy komunikuj\u0105 si\u0119 z r\u00f3\u017cnymi lub czasami tymi samymi osobami na wielu platformach. Jest to nie tylko m\u0119cz\u0105ce, ale i skutkuje mniejsz\u0105 \u015bwiadomo\u015bci\u0105 mo\u017cliwych czynnik\u00f3w ryzyka lub wektor\u00f3w ataku.<\/p>\n\n\n\n
Co w tej sytuacji doradzaj\u0105 specjali\u015bci? Mark Kedgley, CTO w New Net Technologies proponuje skupi\u0107 si\u0119 na najbardziej podstawowych uprawnieniach, poniewa\u017c wci\u0105\u017c wielka liczba u\u017cytkownicy posiada uprawnienia lokalnego administratora. Wiele biznesowych rozwi\u0105za\u0144 posiada mechanizmy zabezpieczaj\u0105ce \u2013 kt\u00f3re umo\u017cliwiaj\u0105 wczesne wykrycie potencjalnie niebezpiecznych zdarze\u0144 lub podejrzanych operacji. Warto z nich korzysta\u0107. Administratorzy powinni r\u00f3wnie\u017c wprowadzi\u0107 mechanizmy zabezpieczaj\u0105ce \u2013 takie jak kontrol\u0119 zmian i zarz\u0105dzanie podatno\u015bciami.<\/p>\n\n\n\n
\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\nZ\u0142o\u015bliwy kreator dokument\u00f3w EtterSilent na\u015bladuje DocuSign i jest u\u017cywany przez najwi\u0119ksze gangi cyberprzest\u0119pcze<\/strong><\/h2>\n\n\nZ\u0142o\u015bliwe narz\u0119dzie do tworzenia dokument\u00f3w o nazwie \u201eEtterSilent\u201d cieszy si\u0119 rosn\u0105c\u0105 popularno\u015bci\u0105 na przest\u0119pczych forach. Nic dziwnego, \u017ce tw\u00f3rcy stale uzbrajaj\u0105 je w nowe techniki, pozwalaj\u0105ce unikn\u0105\u0107 wykrycia. <\/p>\n\n\n\n
Reklamy promuj\u0105ce EtterSilent maldoc builder na dark forach oferuj\u0105 takie funkcje jak obej\u015bcie Windows Defender, Windows AMSI (Antimalware Scan Interface) i popularne us\u0142ugi poczty e-mail, w tym Gmail.<\/p>\n\n\n\n
Wed\u0142ug bada\u0144 Intel 471 wyst\u0119puje on w dw\u00f3ch wersjach. Jeden wykorzystuje luk\u0119 CVE-2017-8570 w Microsoft Office, a drugi z\u0142o\u015bliwe makra.<\/p>\n\n\n\n
W tym drugim scenariuszu EtterSilent na\u015bladuje produkt do podpisu cyfrowego DocuSign lub DigiCert – gdy ofiary klikaj\u0105 w podpis elektroniczny, s\u0105 proszone o w\u0142\u0105czenie makr. To prowadzi z kolei do ataku malware. <\/p>\n\n\n\n
Poniewa\u017c narz\u0119dzie korzysta z makr XML programu Excel 4.0, EtterSilent nie jest zale\u017cny od j\u0119zyka programowania Visual Basic for Applications (VBA), kt\u00f3ry jest cz\u0119sto spotykany w przypadku z\u0142o\u015bliwych makr.<\/p>\n\n\n\n
W zesz\u0142ym miesi\u0105cu EtterSilent zosta\u0142 u\u017cyty w kampanii wykorzystuj\u0105cej inne narz\u0119dzie, zwane BazarLoader. W poprzedniej kampanii z u\u017cyciem EtterSilent atakuj\u0105cy wykorzystali zaktualizowan\u0105 wersj\u0119 Trickbota, znanego trojana bankowego. By\u0142 r\u00f3wnie\u017c wykorzystany w towarzystwie trojan\u00f3w bankowych BokBot, Gozi ISFB i QBot.<\/p>\n\n\n\n
\u0179r\u00f3d\u0142a: 1<\/a> | 2<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Obietnica dwumiesi\u0119cznej subskrypcji Netflix Premium za darmo i zawsze znajdzie si\u0119 kto\u015b, kto b\u0119dzie chcia\u0142 w ten spos\u00f3b zaoszcz\u0119dzi\u0107. Ale w tym przypadku je\u015bli mowa o jakichkolwiek zyskach, to ob\u0142owili si\u0119 tylko przest\u0119pcy. Ich celem by\u0142a nie tylko aplikacji WhatsApp, ale tak\u017ce dane kart p\u0142atniczych ofiar. Chocia\u017c wi\u0119kszo\u015b\u0107 naszych czytelnik\u00f3w by\u0142a prawdopodobnie wystarczaj\u0105co rozwa\u017cna i nie da\u0142a si\u0119 z\u0142apa\u0107 na fa\u0142szywy Netflix, oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie i przekonanie ich, \u017ce naprawd\u0119 dostaj\u0105 darmowy Netflix. Dobra rada: nie ma \u0142atwego sposobu, aby uzyska\u0107 Netflix […]<\/p>\n","protected":false},"author":1,"featured_media":1597,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[436],"tags":[],"class_list":["post-3960","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersec-news-pl","post--single"],"yoast_head":"\n
FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent - Xopero Blog<\/title>\n<meta name=\"description\" content=\"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/\" \/>\n<meta property=\"og:locale\" content=\"pl_PL\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent - Xopero Blog\" \/>\n<meta property=\"og:description\" content=\"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...\" \/>\n<meta property=\"og:url\" content=\"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/\" \/>\n<meta property=\"og:site_name\" content=\"Xopero Blog\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/XoperoSoftware\/\" \/>\n<meta property=\"article:published_time\" content=\"2021-04-12T07:15:12+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2023-08-16T12:42:51+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1843\" \/>\n\t<meta property=\"og:image:height\" content=\"481\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"xopero_blogger\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@xoperobackup\" \/>\n<meta name=\"twitter:site\" content=\"@xoperobackup\" \/>\n<meta name=\"twitter:label1\" content=\"Napisane przez\" \/>\n\t<meta name=\"twitter:data1\" content=\"xopero_blogger\" \/>\n\t<meta name=\"twitter:label2\" content=\"Szacowany czas czytania\" \/>\n\t<meta name=\"twitter:data2\" content=\"7 minut\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/\"},\"author\":{\"name\":\"xopero_blogger\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/person\\\/cab3d3cda6e8a1aecfa8abea8827b17c\"},\"headline\":\"FlixOnline to nie Netflix (!)\\\/ Niebezpieczne oferty pracy na LinkedIn \\\/ EtterSilent\",\"datePublished\":\"2021-04-12T07:15:12+00:00\",\"dateModified\":\"2023-08-16T12:42:51+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/\"},\"wordCount\":1669,\"publisher\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"articleSection\":[\"Cybersec news\"],\"inLanguage\":\"pl-PL\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/\",\"name\":\"FlixOnline to nie Netflix (!)\\\/ Niebezpieczne oferty pracy na LinkedIn \\\/ EtterSilent - Xopero Blog\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"datePublished\":\"2021-04-12T07:15:12+00:00\",\"dateModified\":\"2023-08-16T12:42:51+00:00\",\"description\":\"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#breadcrumb\"},\"inLanguage\":\"pl-PL\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#primaryimage\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"contentUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"width\":1843,\"height\":481},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Strona g\u0142\u00f3wna\",\"item\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"FlixOnline to nie Netflix (!)\\\/ Niebezpieczne oferty pracy na LinkedIn \\\/ EtterSilent\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/\",\"name\":\"Xopero Blog\",\"description\":\"Backup & Recovery\",\"publisher\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/xopero.com\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"pl-PL\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\",\"name\":\"Xopero Software\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/03\\\/xopero-niebieskie.png\",\"contentUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/03\\\/xopero-niebieskie.png\",\"width\":500,\"height\":132,\"caption\":\"Xopero Software\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.facebook.com\\\/XoperoSoftware\\\/\",\"https:\\\/\\\/x.com\\\/xoperobackup\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/opero-sp-z-o-o-\\\/?viewAsMember=true\",\"https:\\\/\\\/www.youtube.com\\\/channel\\\/UCRPWyeo1apjSgkDW3hZpB9g?reload=9\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/person\\\/cab3d3cda6e8a1aecfa8abea8827b17c\",\"name\":\"xopero_blogger\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"caption\":\"xopero_blogger\"},\"sameAs\":[\"https:\\\/\\\/xopero.com\"],\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/author\\\/xopero_blogger\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent - Xopero Blog","description":"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/","og_locale":"pl_PL","og_type":"article","og_title":"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent - Xopero Blog","og_description":"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...","og_url":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/","og_site_name":"Xopero Blog","article_publisher":"https:\/\/www.facebook.com\/XoperoSoftware\/","article_published_time":"2021-04-12T07:15:12+00:00","article_modified_time":"2023-08-16T12:42:51+00:00","og_image":[{"width":1843,"height":481,"url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","type":"image\/png"}],"author":"xopero_blogger","twitter_card":"summary_large_image","twitter_creator":"@xoperobackup","twitter_site":"@xoperobackup","twitter_misc":{"Napisane przez":"xopero_blogger","Szacowany czas czytania":"7 minut"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#article","isPartOf":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/"},"author":{"name":"xopero_blogger","@id":"https:\/\/xopero.com\/blog\/#\/schema\/person\/cab3d3cda6e8a1aecfa8abea8827b17c"},"headline":"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent","datePublished":"2021-04-12T07:15:12+00:00","dateModified":"2023-08-16T12:42:51+00:00","mainEntityOfPage":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/"},"wordCount":1669,"publisher":{"@id":"https:\/\/xopero.com\/blog\/#organization"},"image":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#primaryimage"},"thumbnailUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","articleSection":["Cybersec news"],"inLanguage":"pl-PL"},{"@type":"WebPage","@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/","url":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/","name":"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent - Xopero Blog","isPartOf":{"@id":"https:\/\/xopero.com\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#primaryimage"},"image":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#primaryimage"},"thumbnailUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","datePublished":"2021-04-12T07:15:12+00:00","dateModified":"2023-08-16T12:42:51+00:00","description":"...oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie...","breadcrumb":{"@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#breadcrumb"},"inLanguage":"pl-PL","potentialAction":[{"@type":"ReadAction","target":["https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/"]}]},{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#primaryimage","url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","contentUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","width":1843,"height":481},{"@type":"BreadcrumbList","@id":"https:\/\/xopero.com\/blog\/pl\/flixonline-to-nie-netflix-niebezpieczne-oferty-pracy-na-linkedin-ettersilent\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Strona g\u0142\u00f3wna","item":"https:\/\/xopero.com\/blog\/pl\/"},{"@type":"ListItem","position":2,"name":"FlixOnline to nie Netflix (!)\/ Niebezpieczne oferty pracy na LinkedIn \/ EtterSilent"}]},{"@type":"WebSite","@id":"https:\/\/xopero.com\/blog\/#website","url":"https:\/\/xopero.com\/blog\/","name":"Xopero Blog","description":"Backup & Recovery","publisher":{"@id":"https:\/\/xopero.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/xopero.com\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"pl-PL"},{"@type":"Organization","@id":"https:\/\/xopero.com\/blog\/#organization","name":"Xopero Software","url":"https:\/\/xopero.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/xopero.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/03\/xopero-niebieskie.png","contentUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/03\/xopero-niebieskie.png","width":500,"height":132,"caption":"Xopero Software"},"image":{"@id":"https:\/\/xopero.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/XoperoSoftware\/","https:\/\/x.com\/xoperobackup","https:\/\/www.linkedin.com\/company\/opero-sp-z-o-o-\/?viewAsMember=true","https:\/\/www.youtube.com\/channel\/UCRPWyeo1apjSgkDW3hZpB9g?reload=9"]},{"@type":"Person","@id":"https:\/\/xopero.com\/blog\/#\/schema\/person\/cab3d3cda6e8a1aecfa8abea8827b17c","name":"xopero_blogger","image":{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","caption":"xopero_blogger"},"sameAs":["https:\/\/xopero.com"],"url":"https:\/\/xopero.com\/blog\/author\/xopero_blogger\/"}]}},"post_mailing_queue_ids":[],"_links":{"self":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3960","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/comments?post=3960"}],"version-history":[{"count":7,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3960\/revisions"}],"predecessor-version":[{"id":5063,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3960\/revisions\/5063"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/media\/1597"}],"wp:attachment":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/media?parent=3960"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/categories?post=3960"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/tags?post=3960"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
I w tym miejscu przechodzimy do sedna problemu. Aplikacja FlixOnline by\u0142a dost\u0119pna w Google Play przez okres dw\u00f3ch miesi\u0119cy. W tym czasie pobrano j\u0105 oko\u0142o 500 razy. Co jest w zasadzie dobr\u0105 informacj\u0105. Tylko w ci\u0105gu ostatnich sze\u015bciu miesi\u0119cy odpalono kilka bardziej udanych (czyt. gro\u017aniejszych) kampanii. Jednak problem le\u017cy w tym wypadku gdzie indziej. Z\u0142o\u015bliwe oprogramowanie by\u0142o w stanie omin\u0105\u0107 system uwierzytelniania aplikacji w sklepie Google Play. W tym przypadku wbudowane zabezpieczenia Sklepu Play zawiod\u0142y ca\u0142kowicie. Nasuwa si\u0119 wi\u0119c pytanie, ile jeszcze zagro\u017ce\u0144 czeka na wykrycie?<\/p>\n\n\n\n
\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Nowa kampania typu spear-phishing na Linkedin wykorzystuje spersonalizowane oferty pracy w celu zainfekowania ofiar backdoorem o nazwie \u201cmore_eggs\u201d.<\/p>\n\n\n\n W celu zwi\u0119kszenia szans powodzenia kampanii oraz wsp\u00f3\u0142czynnika otwieralno\u015bci, z\u0142o\u015bliwe oferty – pliki archiw\u00f3w ZIP – maj\u0105 dok\u0142adnie tak\u0105 sam\u0105 nazw\u0119 jak tytu\u0142y stanowisk ofiar z ich profilu na Linkedin. Przyk\u0142adowo, je\u017celi ofiara pracuje jako Account Manager, z\u0142o\u015bliwy plik b\u0119dzie nosi\u0142 nazw\u0119 Account Manager position (s\u0142owo \u201cposition\u201d jest dodane na ko\u0144cu). Wystarczy otworzy\u0107 tajemnicz\u0105 ofert\u0119 pracy, aby nie\u015bwiadomie zainicjowa\u0107 instalacj\u0119 bezplikowego backdoora o nazwie more_eggs. Po za\u0142adowaniu pr\u00f3buje on pobiera\u0107 dodatkowe z\u0142o\u015bliwe wtyczki i zapewnia bezpo\u015bredni dost\u0119p do komputera ofiary – twierdz\u0105 specjali\u015bci z eSentire Threat Response Unit w swojej analizie. Ponadto backdoor ten mo\u017ce dzia\u0142a\u0107 jako kana\u0142 do pobierania dodatkowych \u0142adunk\u00f3w z serwera kontrolowanego przez atakuj\u0105cych. Takich jak trojany bankowe, ransomware, credential stealer czy zaszczepi\u0107 si\u0119 w sieci w celu eksfiltracji danych. <\/p>\n\n\n\n Trojan wykorzystuje r\u00f3wnie\u017c legalne procesy systemu Windows, takie jak WMI, w celu unikni\u0119cia wykrycia przez tradycyjne narz\u0119dzia antywirusowe.<\/p>\n\n\n\n Kampanie more_eggs o tym samym modus operandi by\u0142y obserwowane od 2018 roku, a sam backdoor zosta\u0142 przypisany do grupy Golden Chickens i dystrybuowany w modelu MaaS (Malware-as-a-Service \/ Malware jako us\u0142uga). Autorzy najnowszej kampanii nie s\u0105 jeszcze znani – more_eggs by\u0142o w przesz\u0142o\u015bci wykorzystywane przez r\u00f3\u017cne grupy przest\u0119pcze, takie jak FIN6, Cobalt i EvilNum. <\/p>\n\n\n\n Uwa\u017ca si\u0119, \u017ce grupa wykorzystuje du\u017c\u0105 liczb\u0119 zwolnie\u0144 w wyniku COVID-19 do popularyzowania tej kampanii.<\/p>\n\n\n\n \u0179r\u00f3d\u0142a 1<\/a> | 2<\/a><\/p>\n\n\n\n Nadu\u017cywanie aplikacji do wsp\u00f3\u0142pracy nie jest nowym zjawiskiem. Zmiana modelu pracy wywo\u0142ana przez pandemi\u0119 Covid-19 doprowadzi\u0142a do zwi\u0119kszonego uzale\u017cnienia od platform komunikacyjnych, takich jak Discord i Slack. A tam gdzie znajduj\u0105 si\u0119 potencjalne ofiary, pojawi\u0105 si\u0119 te\u017c przest\u0119pcy. Nie jest wi\u0119c niczym zaskakuj\u0105cym, \u017ce wspomniane platformy zosta\u0142y zinfiltrowane i s\u0142u\u017c\u0105 do rozprzestrzeniania cyberzagro\u017ce\u0144 i prowadzenia kampanii. <\/p>\n\n\n\n Aktywne oprogramowanie typu RAT i stealery: Agent Tesla, AsyncRAT, Formbook i wiele innych.<\/p>\n\n\n Cyberprzest\u0119pcy planuj\u0105c kampanie musz\u0105 rozwi\u0105za\u0107 kilka problem\u00f3w \u2013 jednym z nich jest zapewnienie trwa\u0142o\u015bci plik\u00f3w, domen lub te\u017c system\u00f3w, kt\u00f3re odpowiadaj\u0105 za rozprzestrzenianie si\u0119 z\u0142o\u015bliwego oprogramowania. Chodzi dok\u0142adnie o to, aby mie\u0107 gwarancj\u0119 \u017ce nie zostan\u0105 one za szybko usuni\u0119te lub zablokowane. Migracja dla aplikacji takich jak Discord, czy Slack znacznie zwi\u0119kszy\u0142a prawdopodobie\u0144stwo tego, \u017ce z\u0142o\u015bliwy za\u0142\u0105cznik dotrze do u\u017cytkownika ko\u0144cowego. Platformy i aplikacje umo\u017cliwiaj\u0105ce wsp\u00f3\u0142prac\u0119 bazuj\u0105 na sieci dostarczania tre\u015bci (CDN) do przechowywania plik\u00f3w udost\u0119pnianych w kana\u0142ach. We\u017amy jako przyk\u0142ad aplikacj\u0119 Slack. Pliki mo\u017cna przesy\u0142a\u0107 (wgrywa\u0107), a u\u017cytkownicy mog\u0105 tworzy\u0107 linki zewn\u0119trzne, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do zasob\u00f3w, niezale\u017cnie od tego, czy odbiorca ma nawet zainstalowan\u0105 aplikacj\u0119 Slack. W momencie kiedy cyberzagro\u017cenie uniknie wykrycia przez systemy monitoruj\u0105ce, przed przest\u0119pcami kolejne trudne zadanie. Musz\u0105 jeszcze przekona\u0107 u\u017cytkownika aby klikn\u0105\u0142 w link lub otworzy\u0142 uzbrojony link plik. Kiedy taki zas\u00f3b jest jednak dost\u0119pny w ramach zaufanej platformy biznesowej, zadanie staje si\u0119 du\u017co prostsze.<\/p>\n\n\n\n Migracja pozwoli\u0142a r\u00f3wnie\u017c operatorom malware (i innych zagro\u017ce\u0144) dostarczy\u0107 z\u0142o\u015bliwe payload do CDN za po\u015brednictwem zaszyfrowanego protoko\u0142u HTTPS, i w skompresowanej formie – co dodatkowo maskuje zawarto\u015b\u0107. W ci\u0105gu ostatniego roku Tallos Intelligence Team – kt\u00f3ry przeprowadzi\u0142 szeroko zakrojone badania w tym zakresie – zaobserwowa\u0142 wiele popularnych algorytm\u00f3w kompresji, w tym .ACE, .GZ, .TAR i .ZIP oraz kilka mniej popularnych typ\u00f3w, takich jak .LZH.<\/p>\n\n\n\n Sieci CDN s\u0105 r\u00f3wnie\u017c przydatne w procesie dostarczania dodatkowych b\u0142\u0119d\u00f3w i podatno\u015bci w ramach tzw. taktyki wieloetapowego infekowania. Badacze odkryli, \u017ce jedno wyszukiwanie Discord CDN da\u0142o prawie 20 000 wynik\u00f3w w VirusTotal! Ta technika by\u0142a cz\u0119sto u\u017cywana w kampaniach zwi\u0105zanych z RATami, stealerami i innymi typami z\u0142o\u015bliwego oprogramowania zwykle u\u017cywanymi do wyci\u0105gania poufnych informacji z zainfekowanych system\u00f3w.<\/p>\n\n\n\n Atakuj\u0105cy przekszta\u0142cili r\u00f3wnie\u017c API Discord w skuteczne narz\u0119dzie do eksfiltracji danych z sieci. Komunikacja C2 jest mo\u017cliwa za po\u015brednictwem webhook\u00f3w, kt\u00f3re oryginalnie opracowano z my\u015bl\u0105 wysy\u0142aniu automatycznych wiadomo\u015bci do okre\u015blonego serwera Discord.<\/p>\n\n\n Wi\u0119kszo\u015b\u0107 organizacji korzysta dzi\u015b z kilku lub te\u017c kilkunastu narz\u0119dzi komunikacyjnych. Najcz\u0119\u015bciej u\u017cywane s\u0105 poczta e-mail, platformy do wsp\u00f3\u0142pracy i komunikacji, czaty, platformy konferencyjne (Zoom, Go to Webinar i Go to Meeting itp.) a tak\u017ce\u2026 stare, dobre sms-y. W niekt\u00f3rych przypadkach u\u017cytkownicy komunikuj\u0105 si\u0119 z r\u00f3\u017cnymi lub czasami tymi samymi osobami na wielu platformach. Jest to nie tylko m\u0119cz\u0105ce, ale i skutkuje mniejsz\u0105 \u015bwiadomo\u015bci\u0105 mo\u017cliwych czynnik\u00f3w ryzyka lub wektor\u00f3w ataku.<\/p>\n\n\n\n Co w tej sytuacji doradzaj\u0105 specjali\u015bci? Mark Kedgley, CTO w New Net Technologies proponuje skupi\u0107 si\u0119 na najbardziej podstawowych uprawnieniach, poniewa\u017c wci\u0105\u017c wielka liczba u\u017cytkownicy posiada uprawnienia lokalnego administratora. Wiele biznesowych rozwi\u0105za\u0144 posiada mechanizmy zabezpieczaj\u0105ce \u2013 kt\u00f3re umo\u017cliwiaj\u0105 wczesne wykrycie potencjalnie niebezpiecznych zdarze\u0144 lub podejrzanych operacji. Warto z nich korzysta\u0107. Administratorzy powinni r\u00f3wnie\u017c wprowadzi\u0107 mechanizmy zabezpieczaj\u0105ce \u2013 takie jak kontrol\u0119 zmian i zarz\u0105dzanie podatno\u015bciami.<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Z\u0142o\u015bliwe narz\u0119dzie do tworzenia dokument\u00f3w o nazwie \u201eEtterSilent\u201d cieszy si\u0119 rosn\u0105c\u0105 popularno\u015bci\u0105 na przest\u0119pczych forach. Nic dziwnego, \u017ce tw\u00f3rcy stale uzbrajaj\u0105 je w nowe techniki, pozwalaj\u0105ce unikn\u0105\u0107 wykrycia. <\/p>\n\n\n\n Reklamy promuj\u0105ce EtterSilent maldoc builder na dark forach oferuj\u0105 takie funkcje jak obej\u015bcie Windows Defender, Windows AMSI (Antimalware Scan Interface) i popularne us\u0142ugi poczty e-mail, w tym Gmail.<\/p>\n\n\n\n Wed\u0142ug bada\u0144 Intel 471 wyst\u0119puje on w dw\u00f3ch wersjach. Jeden wykorzystuje luk\u0119 CVE-2017-8570 w Microsoft Office, a drugi z\u0142o\u015bliwe makra.<\/p>\n\n\n\n W tym drugim scenariuszu EtterSilent na\u015bladuje produkt do podpisu cyfrowego DocuSign lub DigiCert – gdy ofiary klikaj\u0105 w podpis elektroniczny, s\u0105 proszone o w\u0142\u0105czenie makr. To prowadzi z kolei do ataku malware. <\/p>\n\n\n\n Poniewa\u017c narz\u0119dzie korzysta z makr XML programu Excel 4.0, EtterSilent nie jest zale\u017cny od j\u0119zyka programowania Visual Basic for Applications (VBA), kt\u00f3ry jest cz\u0119sto spotykany w przypadku z\u0142o\u015bliwych makr.<\/p>\n\n\n\n W zesz\u0142ym miesi\u0105cu EtterSilent zosta\u0142 u\u017cyty w kampanii wykorzystuj\u0105cej inne narz\u0119dzie, zwane BazarLoader. W poprzedniej kampanii z u\u017cyciem EtterSilent atakuj\u0105cy wykorzystali zaktualizowan\u0105 wersj\u0119 Trickbota, znanego trojana bankowego. By\u0142 r\u00f3wnie\u017c wykorzystany w towarzystwie trojan\u00f3w bankowych BokBot, Gozi ISFB i QBot.<\/p>\n\n\n\n \u0179r\u00f3d\u0142a: 1<\/a> | 2<\/a><\/p>\n","protected":false},"excerpt":{"rendered":" Obietnica dwumiesi\u0119cznej subskrypcji Netflix Premium za darmo i zawsze znajdzie si\u0119 kto\u015b, kto b\u0119dzie chcia\u0142 w ten spos\u00f3b zaoszcz\u0119dzi\u0107. Ale w tym przypadku je\u015bli mowa o jakichkolwiek zyskach, to ob\u0142owili si\u0119 tylko przest\u0119pcy. Ich celem by\u0142a nie tylko aplikacji WhatsApp, ale tak\u017ce dane kart p\u0142atniczych ofiar. Chocia\u017c wi\u0119kszo\u015b\u0107 naszych czytelnik\u00f3w by\u0142a prawdopodobnie wystarczaj\u0105co rozwa\u017cna i nie da\u0142a si\u0119 z\u0142apa\u0107 na fa\u0142szywy Netflix, oszustwo z FlixOnline (i jemu podobne) zadzia\u0142a\u0142o na wyobra\u017ani\u0119 wielu ludzi. W ko\u0144cu, wszystko w tej kampanii mia\u0142o na celu zmylenie i przekonanie ich, \u017ce naprawd\u0119 dostaj\u0105 darmowy Netflix. Dobra rada: nie ma \u0142atwego sposobu, aby uzyska\u0107 Netflix […]<\/p>\n","protected":false},"author":1,"featured_media":1597,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[436],"tags":[],"class_list":["post-3960","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersec-news-pl","post--single"],"yoast_head":"\nSzukasz pracy? Uwa\u017caj na idealne oferty pracy na Linkedin – to malware!<\/strong><\/h2>\n\n\n
<\/a><\/figure><\/div>\n\n\n\nDiscord i Slack pe\u0142ne malware \u2013 skan tylko jednej z sieci zaowocowa\u0142 wykryciem 20 tys. wirus\u00f3w!<\/strong><\/h2>\n\n\n
Dlaczego cyberprzest\u0119pcy przenie\u015bli si\u0119 do aplikacji wspomagaj\u0105cych wsp\u00f3\u0142prac\u0119<\/strong><\/h5>\n\n\n
Jak ograniczy\u0107 zagro\u017cenia?<\/strong><\/h5>\n\n\n
Z\u0142o\u015bliwy kreator dokument\u00f3w EtterSilent na\u015bladuje DocuSign i jest u\u017cywany przez najwi\u0119ksze gangi cyberprzest\u0119pcze<\/strong><\/h2>\n\n\n