Das bösartige Netzwerk VexTrio verbreitet Malware

Forscher haben herausgefunden, dass über 70.000 scheinbar legitime Websites übernommen und in ein Netzwerk namens VexTrio integriert wurden, das von Kriminellen für die Verbreitung von Malware, die Bereitstellung von Phishing-Seiten und die Weitergabe anderer illegaler Inhalte genutzt wird. Dieses Netzwerk, das seit 2017 oder früher aktiv ist, funktioniert ähnlich wie Verkehrsverteilungssysteme (TDS), die im Marketing verwendet werden, um Benutzer basierend auf ihren Interessen zu bestimmten Websites zu leiten. VexTrio kompromittiert Zehntausende Websites, indem es seine Besucher auf Seiten umleitet, auf denen Malware-Downloads, gefälschte Anmeldeschnittstellen zum Diebstahl von Anmeldedaten oder andere betrügerische Cyberaktivitäten gehostet werden.

VexTrio funktioniert ähnlich wie MaaS

Berichten zufolge sind etwa 60 Partner am VexTrio-Netzwerk beteiligt. Einige Partner steuern kompromittierte Websites bei und leiten Benutzer an die TDS-Infrastruktur von VexTrio weiter, die die Browser der Opfer dann anhand bestimmter Kriterien zu schädlichen Seiten weiterleitet. VexTrio verlangt von den Kriminellen, die hinter den betrügerischen Websites stehen, Gebühren für die Lenkung des Webverkehrs, und diejenigen, die für die Bereitstellung der manipulierten Websites verantwortlich sind, erhalten einen Anteil am Gewinn. Das TDS leitet Benutzer auch auf Betrugswebsites weiter, die von der VexTrio-Crew betrieben werden, sodass sie direkt von ihren betrügerischen Aktivitäten profitieren können.

Check Point stufte VexTrio in seinem globalen Bedrohungsindex vom Januar aufgrund seiner großen Reichweite und seines ausgeklügelten Aufbaus als erhebliches Sicherheitsrisiko ein. Diese Einschätzung deckt sich mit einer aktuellen Untersuchung von Infoblox, die VexTrio als die „größte Bedrohung“ für seine Kunden bezeichnete. Infoblox verfolgt VexTrio seit zwei Jahren und weist auf Anzeichen einer Kompromittierung hin, die IT-Umgebungen beachten sollten.

Interessanterweise ist SocGholish (auch bekannt als FakeUpdates) ein über VexTrio verbreiteter Malware-Typ, der im Januar zur am weitesten verbreiteten Malware wurde und vier Prozent der beobachteten Organisationen weltweit betraf. SocGholish, geschrieben in JavaScript, wird beim Besuch einer manipulierten Website ausgelöst und zielt auf Windows-Computer ab, indem es sich als Browser-Update ausgibt. Sobald es akzeptiert und ausgeführt wird, infiziert es den PC des Opfers mit Backdoor-Malware, Ransomware und anderen bösartigen Elementen.