VexTrio Malicious Network sprer skadelig programvare
Forskere har oppdaget at over 70 000 tilsynelatende legitime nettsteder har blitt overtatt og integrert i et nettverk, kjent som VexTrio, brukt av kriminelle for å distribuere skadelig programvare, distribuere phishing-sider og dele annet ulovlig innhold. Dette nettverket, som har vært aktivt siden 2017 eller tidligere, fungerer på samme måte som trafikkdistribusjonssystemer (TDSer) som brukes i markedsføring for å lede brukere til bestemte nettsteder basert på deres interesser. VexTrio kompromitterer titusenvis av nettsteder, omdirigerer besøkende til sider som er vert for nedlasting av skadelig programvare, falske påloggingsgrensesnitt for legitimasjonstyveri eller deltar i andre uredelige cyberaktiviteter.
VexTrio fungerer på samme måte som MaaS
Omtrent 60 tilknyttede selskaper er angivelig involvert i VexTrio-nettverket. Noen partnere bidrar med kompromitterte nettsteder, og sender brukere til VexTrios TDS-infrastruktur, som deretter guider ofrenes nettlesere til skadelige sider basert på spesifikke kriterier. VexTrio tar gebyrer til kriminelle bak de uredelige nettstedene for å dirigere nettrafikk, og de som er ansvarlige for å tilby de kompromitterte nettsidene får en del av fortjenesten. TDS leder også brukere til svindelnettsteder som drives av VexTrio-mannskapet, slik at de kan dra direkte nytte av deres uredelige aktiviteter.
Check Point, i sin globale trusselindeks i januar, klassifiserte VexTrio som en betydelig sikkerhetsrisiko på grunn av sin omfattende rekkevidde og sofistikerte oppsett. Denne vurderingen stemmer overens med en nylig undersøkelse utført av Infoblox, som merket VexTrio som den "enkelte mest gjennomgripende trusselen" mot kundene sine. Infoblox har sporet VexTrio i to år og fremhevet tegn på kompromiss som IT-miljøer bør være oppmerksomme på.
Interessant nok er en stamme av skadelig programvare distribuert gjennom VexTrio SocGholish (aka FakeUpdates), som ble den mest utbredte skadevare i januar, og påvirket fire prosent av observerte organisasjoner over hele verden. SocGholish, skrevet i JavaScript, utløses når du besøker et kompromittert nettsted og retter seg mot Windows-maskiner ved å utgi seg som en nettleseroppdatering. Når den er akseptert og henrettet, infiserer den offerets PC med bakdørs malware, løsepengeprogramvare og andre ondsinnede elementer.
