ZE Loader muliggør overlay -angreb via en RDP -forbindelse

ZE Loader er et ondsindet Windows-program, hvis operatører bruger det til at udføre de såkaldte overlay-angreb. Denne angrebsteknik fokuserer på at stjæle finansielle data fra ofre ved at vise falske phishing -beskeder oven på legitime applikationer og websteder. I tilfælde af ZE Loader er kriminelle målrettet mod banker, online betalingsprocessorer og kryptokurrencyudvekslinger. Angriberen er i stand til at interagere med offerets maskine i realtid, hvilket i høj grad forbedrer finiteten i hele operationen.

Typisk ender ofrene for ZE Loader med at interagere med malware på grund af phishing -e -mails, falske downloads eller piratkopieret software. Når den kører, foretager ZE Loader nogle ændringer i Windows -installationen. Disse ændringer giver fjernangriberen lettere adgang:

• Det sikrer, at trojaneren kører med administratorrettigheder.
• Det etablerede en Remote Desktop Protocol (RDP) forbindelse til kommando-og-kontrol-serveren.
• ZE Loader muliggør flere RDP -forbindelser på den inficerede enhed ved at manipulere med Windows -registreringsdatabasen.
• Malwaren opretter også en ny brugerkonto med navnet Administart0r og adgangskoden 123mudar.
• Endelig sørger implantatet for at tillade RDP -forbindelser via Windows Firewall.

I mellemtiden vil malware også slippe nogle filer på offerets maskine. Nogle af disse er designet til at løsne sikkerhedsforanstaltningerne, mens en JDK_SDK -fil bærer alle de aktiver, Trojan bruger under sit angreb. Dette er ret usædvanligt - typisk henter trojanere, der udfører overlay -angreb, deres billeder og phishing -sider fra fjernserveren. Denne malware gemmer imidlertid alle disse aktiver i en krypteret tilstand på offerets maskine.

ZE Loader -operatører organiserer angreb gennem RDP -forbindelser

ZE Loader overvåger aktivt nyåbnede processer og aktive browsersessioner. Hvis det identificerer, at brugeren forsøger at indlæse et af de understøttede netbankwebsteder eller en app, som trojaneren retter sig mod, modtager angriberen en meddelelse. Når de kriminelle forbinder via RDP, kan de begynde at udføre kommandoer. Typisk ville det vise de phishing -aktiver fra JDK_SDK -filen, som ZE Loader bragte med sig. Kriminelle er i stand til at udspille forskellige scenarier for at stjæle data. For eksempel kan de bede brugeren om loginoplysninger, kreditkortdata, tofaktorautentificering og mere.

Selvom ZE Loader ikke udfører det mest sofistikerede overlay -angreb, vi har set, er det stadig et meget farligt stykke malware. Beskyt dine Windows-systemer mod sådanne angreb ved at bruge opdaterede antivirusværktøjer. Sørg naturligvis også for at lære at surfe på internettet sikkert.