Angripere bruker LinkedIn-meldinger for å plante fjernstyringstrojanere

Forskere hos ReliaQuest har identifisert en ny phishing-kampanje på LinkedIn der personer i lederstillinger lures til å laste ned ondsinnede filer. Angriperne innleder en samtale med målet og sender deretter et selvutpakkende WinRAR-arkiv med et troverdig filnavn. Arkivet inneholder en legitim PDF-leser, en ondsinnet DLL-fil, en portabel Python-tolker og en RAR-fil som avledning. Ved hjelp av DLL-sideloading laster den legitime PDF-leseren den ondsinnede DLL-filen som ligger ved siden av. Fordi det ser ut som en betrodd applikasjon, går det klar av mange sikkerhetsverktøy. Koden bruker deretter Python-tolkeren og et åpent Python-skript til å installere en fjernstyringstrojaner, som gir angriperne tilgang og mulighet til å stjele data.

Hva det betyr for virksomheten

Angrepet går utenom e-postfilteret fordi det aldri berører e-post. Det treffer også den gruppen som har bredest tilgang og minst tid til å tvile: ledere og nøkkelpersoner som får henvendelser på LinkedIn hver uke. At en legitim PDF-leser gjør den skitne jobben, betyr at signaturbasert kontroll ikke fanger det opp. Dette er derfor like mye et spørsmål om hvordan ledelsen selv håndterer henvendelser som om teknisk deteksjon.

Berigo anbefaler

• Gi ledere og nøkkelpersoner egen opplæring i denne fremgangsmåten, med LinkedIn som konkret kanal.
• Blokker eller karanteneiser selvutpakkende arkiver og kjørbare filer fra nedlastingsmapper på bedriftsmaskiner.
• Sett opp deteksjon på DLL-sideloading og på uventet kjøring av Python-tolkere fra brukerkataloger.
• Gjør det enkelt å melde fra om mistenkelige henvendelser i sosiale medier, ikke bare i e-post.

Kilde

• hackread.com