Falske nedlastingssider kaprer det første klikket

Forskere hos Check Point har publisert en rapport om et omfattende økosystem av falske nettsider for åpen kildekode og gratisprogramvare som rangerer høyt i søkeresultater. Sidene har et profesjonelt preg og etterligner nedlastingssider for kjente verktøy, blant annet Ghidra, dnSpy og MQTT Explorer. Et av grepene er at nedlastingslenkene ser legitime ut og peker til de opprinnelige prosjektsidene når brukeren holder musepekeren over dem, mens et JavaScript-lag driftet på CloudFront fanger opp og omdirigerer det første klikket. Offeret rutes deretter gjennom et trafikkfordelingssystem (TDS), der kontroller mot analyse, engangslenker, filtrering på IP og nettleser samt frekvensbegrensninger vanskeliggjør analyse, før en andel av brukerne ender opp med ondsinnede nedlastinger. De observerte nyttelastene omfatter, i tillegg til reklameprogramvare, RemusStealer, AnimateClipper og SessionGate, en tidligere ukjent laster i flere trinn navngitt av Check Point Research. Forfatterne mener at hovedmotivet trolig er trafikkanskaffelse og inntjening, selv om ondsinnede nedlastinger ble observert.

Hva det betyr for virksomheten

Utviklere, driftspersonell og sikkerhetsfolk henter jevnlig verktøy via søk, og det er nettopp denne gruppen som har høyest rettigheter i miljøet. Når den falske siden ligger øverst i søkeresultatet og lenken ser riktig ut ved nærmere ettersyn, holder ikke råd om å «se på lenken» som eneste kontroll. Konsekvensen er skadevare som installeres av en betrodd bruker på en betrodd maskin.

Berigo anbefaler

• Etabler et internt, godkjent kildested for verktøy, slik at ansatte slipper å søke seg frem til nedlastinger.
• Verifiser sjekksummer og signaturer for programvare som installeres på administrative maskiner.
• Begrens installasjonsrettigheter på arbeidsstasjoner, også for tekniske roller, og bruk hevede rettigheter ved behov.
• Overvåk nedlastinger av kjørbare filer fra nyregistrerte eller ukjente domener.

Kilde

• research.checkpoint.com