Gut dokumentierte Infektionskette
Google Chrome-Nutzer vom neuen "ElTest Social Engineering"-Schema ins Visier genommen
Die Infektionsmethode kombiniert kompromittierte Websites, Browser-Targeting und Social-Engineering, um Nutzer zu täuschen
Forscher von Proofpoint haben eine neue Angriffsmethode entdeckt, die versucht, Google Chrome-Nutzer zum Herunterladen von Malware zu veranlassen. Erreicht werden soll dies durch selektive Injektionen in Websites, die das Auftreten von Problemen zusammen mit dem Angebot von gefälschten Lösungen vortäuschen. Benutzer in vielen verschiedenen Regionen sind betroffen. Die Infektionsmethode kombiniert kompromittierte Websites, Browser-Targeting und Social-Engineering, um Nutzer zu täuschen.
Dieser neue Infektionsweg ist die letzte Entwicklung in der ElTest-Kette, einer gut dokumentierten Infektionskette, die kompromittierte Webseiten nutzt, um die betroffenen User auf EK-Landing-Seiten zu verweisen.
In einem neuen Blog-Post beschreiben die Proofpoint-Experten die EITest-Filtermechanismen, um den Angriff zu analysieren. Der Blog-Beitrag hebt hervor:
>> Die Infektion ist einfach und direkt: Ein Skript wird in eine Webseite eingefügt und schreibt die kompromittierte Website auf dem Browser eines potenziellen Opfers um. Die Seite wird unlesbar und so zu einem Problem, das der Anwender zu lösen hat.
>> Dem Benutzer wird ein modales und somit neues Fenster zur Verfügung gestellt, das eine "Lösung" anbietet: In diesem Fall die Installation eines gefälschten und aktualisierten Font-Packs, was tatsächlich der Malware-Payload ist.
>> Nach der Infektion wird der Computer von selbst im Hintergrund den Browser starten
Proofpoint stellte fest, dass diese Kampagne am 10. Dezember 2016 begann. Seit dieser Zeit ist die heruntergeladene ausführbare Datei "Chrome_Font.exe" tatsächlich eine Art von Ad fraud Malware, die als Fleercivet bekannt ist.
(Proofpoint: ra)
eingetragen: 10.02.17
Home & Newsletterlauf: 06.03.17
Proofpoint: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.