Οι κυβερνοεγκληματίες στρέφονται πλέον σε πλατφόρμες βίντεο σύντομης διάρκειας ως μια νέα επιφάνεια επίθεσης, χρησιμοποιώντας ψεύτικους οδηγούς λογισμικού στο TikTok και στα Instagram Reels για να προωθήσουν κακόβουλο λογισμικό σε ανυποψίαστους χρήστες.
Η τακτική είναι απλή αλλά εξαιρετικά αποτελεσματική: δημιουργούν προσεγμένα, πειστικά βίντεο που υπόσχονται δωρεάν πρόσβαση σε δημοφιλές λογισμικό premium και στη συνέχεια κατευθύνουν αθόρυβα τους θεατές σε κακόβουλες λήψεις.
Η επίθεση λειτουργεί επειδή ενσωματώνεται με φυσικό τρόπο στο περιβάλλον των πλατφορμών.
Η ανάλυση των εκστρατειών και η απειλή του Vidarstealer
Αναλυτές της ReversingLabs εντόπισαν και ανέλυσαν δύο διαφορετικές μεθόδους εκστρατείας που χρησιμοποιούνται σε αυτή την απειλή, και οι δύο καταφέρνοντας να προσεγγίσουν τεράστιο κοινό παίζοντας με τους αλγόριθμους συστάσεων των μέσων κοινωνικής δικτύωσης.
Η έρευνα διεξήχθη από την ερευνήτρια απειλών Zaria Vuksan, η οποία κατέγραψε πώς οι επιτιθέμενοι εκμεταλλεύονται επιδέξια τους μηχανισμούς αλληλεπίδρασης των πλατφορμών για να διαδώσουν κακόβουλο λογισμικό σε μεγάλη κλίμακα σε πολλές πλατφόρμες.
Και οι δύο εκστρατείες μοιράζονται τον ίδιο τελικό στόχο: να στείλουν τους χρήστες σε έναν ιστότοπο τρίτου μέρους που φιλοξενεί κακόβουλο λογισμικό μεταμφιεσμένο σε δωρεάν premium εφαρμογή. Το κακόβουλο λογισμικό που αναπτύσσεται μέσω αυτών των βίντεο είναι το Vidarstealer, ένα γνωστό infostealer που προσφέρεται ως υπηρεσία και κλέβει διαπιστευτήρια σύνδεσης, οικονομικά δεδομένα και διακριτικά συνεδρίας από μολυσμένες συσκευές.
Η κατάχρηση του TikTok και των Instagram Reels
Η πρώτη εκστρατεία χρησιμοποιεί λογαριασμούς με ονόματα χρηστών όπως «windows.tips» ή «windows.insights», σε συνδυασμό με μια μπλε και λευκή εικόνα προφίλ που έχει σχεδιαστεί για να μιμείται το επίσημο εικονίδιο των Windows. Αυτοί οι λογαριασμοί δημοσιεύουν επαγγελματικά βίντεο εκμάθησης με φωνές AI, καθοδηγώντας τους χρήστες να πληκτρολογήσουν μια εντολή PowerShell που υποτίθεται ότι ξεκλειδώνει το Spotify Premium δωρεάν.
Η εντολή αυτή δίνει οδηγίες στα Windows να κατεβάσουν αθόρυβα και να εκτελέσουν ένα σενάριο, το οποίο τελικά εγκαθιστά το Vidarstealer.
Η δεύτερη εκστρατεία ακολουθεί μια πιο χαλαρή προσέγγιση. Αυτοί οι λογαριασμοί δημοσιεύουν σύντομα, ασαφή κλιπ που δείχνουν premium λειτουργίες του Spotify και ενθαρρύνουν τους θεατές να σχολιάσουν. Μόλις αυξηθεί η αλληλεπίδραση, ο επιτιθέμενος απαντά με οδηγίες προς κακόβουλους ιστότοπους όπως το pluginchad[.]xyz ή το d4ug[.]site, οι οποίοι προσφέρουν ψεύτικες λήψεις λογισμικού.
Γιατί αυτές οι επιθέσεις κοινωνικής μηχανικής είναι δύσκολο να σταματήσουν
Αυτό που κάνει αυτή την απειλή ιδιαίτερα επίμονη είναι ότι οι πλατφόρμες μέσων κοινωνικής δικτύωσης δεν είναι καλά εξοπλισμένες για να τη σταματήσουν. Οι ερευνητές της ReversingLabs προσπάθησαν να αναφέρουν κακόβουλους λογαριασμούς στο Instagram ως απάτες, και κάθε αναφορά απορρίφθηκε.
Επιπλέον, οι επιτιθέμενοι καταστέλλουν τις προειδοποιήσεις της κοινότητας σβήνοντας αμέσως τα σχόλια που τους ξεμπροστιάζουν και αποκλείοντας τους χρήστες.
Πρακτικές άμυνες υπάρχουν και πρέπει να εφαρμοστούν τώρα. Οι οργανισμοί θα πρέπει να ελέγχουν τακτικά τα δικαιώματα εγκατάστασης σε συσκευές εργασίας, καθώς κάποιο λογισμικό παρουσιάζεται ως χρήσιμο επαγγελματικό εργαλείο. Τα προγράμματα εκπαίδευσης κατά του phishing πρέπει να καλύπτουν ρητά τα μέσα κοινωνικής δικτύωσης, ενώ οι χρήστες οφείλουν να αναφέρουν συστηματικά τους ύποπτους λογαριασμούς.