Nowa sztuczka malvertisingowa

Kampania malvertisingowa śledzona jako SourTrade stosuje nietypowe podejście do przemycania złośliwego oprogramowania obok narzędzi bezpieczeństwa: zamiast dostarczać pojedynczy złośliwy plik, dzieli ładunek na fragmenty i sprawia, że przeglądarka ofiary składa je z powrotem w działający plik wykonywalny systemu Windows. Według doniesień na temat tej kampanii, SourTrade wykorzystuje środowisko uruchomieniowe JavaScript Bun wraz z procesami Web Worker przeglądarki do obsługi tego składania i zaobserwowano ją już w 12 krajach.

Termin malvertising odnosi się do złośliwego kodu dostarczanego za pośrednictwem reklam internetowych, często bez konieczności klikania czegokolwiek przez użytkownika poza normalnie wyglądającą reklamą lub elementem strony internetowej. To, co wyróżnia SourTrade, to nie sama metoda dostarczania, która jest powszechna, ale technika konstrukcji używana, gdy przeglądarka ofiary zaczyna przetwarzać treść reklamy.

Jak złośliwe oprogramowanie składane w przeglądarce wymyka się wykrywaniu

Większość programów antywirusowych i narzędzi do ochrony punktów końcowych w dużej mierze opiera się na wykrywaniu opartym na skrótach (hashach): porównują plik ze znanymi sygnaturami złośliwego oprogramowania, które zostało już zidentyfikowane i skatalogowane. Działa to dobrze, gdy każda ofiara otrzymuje dokładnie ten sam plik, ponieważ pojedynczy hash może oznaczyć każdą jego kopię.

SourTrade wydaje się zaprojektowana specjalnie po to, by złamać ten model. Dzieląc złośliwy ładunek na części i używając Web Workerów – wątków działających w tle, które wykonują skrypty bez blokowania strony głównej – do rekonstrukcji pliku wykonywalnego w sesji przeglądarki każdej ofiary, kampania tworzy unikalny plik dla każdej infekcji. Ponieważ żadne dwa złożone pliki wykonywalne nie mają tego samego skrótu, tradycyjne skanowanie oparte na sygnaturach ma znacznie mniej punktów zaczepienia. Wykorzystanie Bun, szybkiego środowiska uruchomieniowego JavaScript, podobno pomaga w wydajnym przeprowadzaniu tej konstrukcji wewnątrz przeglądarki na tyle, by uniknąć wyraźnych oznak spadku wydajności, które mogłyby zaalarmować użytkownika lub narzędzie bezpieczeństwa.

Po złożeniu powstały plik jest standardowym plikiem wykonywalnym Windows, co oznacza, że może wykonywać dowolne złośliwe funkcje wbudowane przez jego operatorów, od kradzieży danych uwierzytelniających po ustanowienie stałego zdalnego dostępu do zainfekowanej maszyny.

Dlaczego budowanie plików per-sesja ma znaczenie dla wykrywania na dużą skalę

Odnotowany zasięg SourTrade w 12 krajach sugeruje, że nie jest to mały, odizolowany test, ale aktywna kampania z prawdziwym zapleczem infrastrukturalnym. Generowanie plików wykonywalnych dla każdej sesji to znacząca zmiana taktyki, ponieważ celuje bezpośrednio w najsłabsze ogniwo tradycyjnej obrony antywirusowej: założenie, że próbki złośliwego oprogramowania są statyczne i mogą być ponownie wykorzystywane u różnych ofiar.

Badacze bezpieczeństwa zazwyczaj przeciwdziałają tego rodzaju unikaniu wykrycia za pomocą wykrywania behawioralnego, obserwując, co plik robi, a nie jak wygląda, ale to podejście wymaga bardziej zaawansowanych narzędzi niż proste dopasowywanie skrótów. Dla zwykłych użytkowników, a nawet wielu małych organizacji, oprogramowanie zabezpieczające działające na ich komputerach może nadal w dużej mierze opierać się na bazach sygnatur, pozostawiając lukę, którą kampanie takie jak SourTrade są zaprojektowane, by wykorzystać. Po skompromitowaniu maszyny w ten sposób może ona również stać się częścią większego botnetu, sieci zainfekowanych urządzeń kontrolowanych zdalnie bez wiedzy ich właścicieli, co rozszerza zasięg atakującego daleko poza pojedynczą ofiarę.

Co to oznacza dla Ciebie

Nie musisz być badaczem bezpieczeństwa, aby zmniejszyć ryzyko związane z kampaniami takimi jak SourTrade. Malvertising zasadniczo polega na reklamach lub osadzonych skryptach ładujących się na odwiedzanych stronach, często za pośrednictwem legalnych sieci reklamowych, które zostały przejęte lub nadużyte, a nie na ewidentnie podejrzanych witrynach. Oznacza to, że zwykła rada "po prostu unikaj podejrzanych stron" nie stanowi sama w sobie wystarczającej ochrony.

Rozszerzenia przeglądarki blokujące skrypty reklamowe i zewnętrzne mechanizmy śledzące zmniejszają obszar dostępny dla tego rodzaju ataku, ponieważ znaczna część złośliwej logiki nigdy nie ma szansy się uruchomić, jeśli sama treść reklamy zostanie zablokowana przed załadowaniem. Aktualne wersje przeglądarki i systemu operacyjnego również mają znaczenie, ponieważ poprawki często eliminują konkretne mechanizmy, na których atakujący polegają, aby uruchamiać skrypty w tle. A ponieważ złośliwe oprogramowanie budowane unikalnie dla każdej sesji jest trudniejsze do wykrycia dla narzędzi opartych na skrótach, poleganie na oprogramowaniu zabezpieczającym zawierającym analizę behawioralną lub heurystyczną, a nie tylko na dopasowywaniu sygnatur, daje znacząco większą szansę na wykrycie czegoś nietypowego, zanim wyrządzi to szkody.

Kluczowe wnioski

  • Malvertising SourTrade składa unikalny plik wykonywalny Windows na każdą sesję ofiary, co sprawia, że tradycyjne wykrywanie antywirusowe oparte na skrótach jest znacznie mniej skuteczne.
  • Kampania wykorzystuje środowisko uruchomieniowe JavaScript Bun i procesy Web Worker przeglądarki do przeprowadzania tej konstrukcji wewnątrz przeglądarki.
  • Zaobserwowano ją w 12 krajach, co sugeruje aktywną, działającą infrastrukturę, a nie ograniczony test.
  • Rozszerzenia przeglądarki blokujące reklamy, szybkie aktualizacje oprogramowania i narzędzia bezpieczeństwa z możliwością wykrywania behawioralnego oferują silniejszą ochronę niż samo skanowanie oparte na sygnaturach.
  • Zainfekowane maszyny mogą być włączane do większych botnetów, więc indywidualne infekcje niosą ze sobą ryzyko wykraczające poza pierwotną ofiarę.