Fałszywe aktualizacje Meltdown/Spectre zawierają malware

Telenoweli związanej z Meltdown/Spectre ciąg dalszy i nie zapowiada się, żeby w najbliższej przyszłości sprawa zaczęła cichnąć - a przynajmniej nie stanie się tak, póki każdy nie zaktualizuje swojego systemu oraz BIOSu. Dodatkowo z fali ostatnich doniesień zaczynają korzystać przestępcy, oferując fałszywe pliki z aktualizacjami, które zawierają w sobie malware.

Phishing – czyli oszustwo polegające na podszywaniu się pod kogoś lub coś innego by wyłudzić informacje, staje się ponownie coraz bardziej popularnym i lukratywnym narzędziem hackerów. Atakujący może w ten sposób nakłonić ofiarę, by sama ominęła system zabezpieczeń systemu, samodzielnie instalując malware na swoim komputerze.  Niemiecki Federalny Urząd Bezpieczeństwa Teleinformatycznego BSI (Bundesamt für Sicherheit in der Informationstechnik) poinformował, że hackerzy rozsyłają maile w języku niemieckim, które noszą tytuł "Krytyczne zagrożenie bezpieczeństwa - ważna aktualizacja" bądź podobny, co ma na celu skłonienie ofiary do zainstalowania łatki i zainfekowania tym samym swojego komputera. Co jest jednak ciekawe, maile ostrzegające przed Meltdown i Spectre pozornie zdają się pochodzić właśnie od niemieckiego BSI.

To kolejny przykład ukazujący jak duże zagrożenia kryją się w pozornie niegroźnych wiadomościach e-mail

Wiadomości zawierają linki do opatrzonej certyfikatem SSL strony, która łudząco przypomina oficjalną stronę BSI, gdzie ofiary mogą znaleźć pliki z rozszerzeniem .zip o nazwie  Intel-AMD-SecurityPatch-11-01bsi.zip zawierające fałszywą aktualizację bezpieczeństwa Intel-AMD-SecurityPatch-10-1-v1.exe. Po uruchomieniu pliku .exe ofiara zostaje zainfekowana malware o nazwie "Smoke Loader", które pozwala atakującym na dostarczenie kodu kolejnego malware na zainfekowane komputery. Po infekcji, malware próbuje komunikować się z wieloma domenami poprzez szyfrowane kanały. Jedną z takich podejrzanych domen, jest strona serwująca fałszywe patche do Adobe Flash, chowająca się za Cloudflare oraz posługująca się certyfikatem SSL od Comodo. Malwarebytes, które jako pierwsze namierzyło ten typ malware skontaktowało się z Cloudflare i Comodo, co poskutkowało natychmiastową blokadą witryny. Póki co doniesienia mówią tylko o podejrzanych wiadomościach rozsyłanych na terenie Niemiec. Kwestią czasu jest jednak kiedy pomysł ten skopiowany zostanie w innych krajach.