ZE Loader muliggjør overleggsangrep via en RDP -tilkobling

ZE Loader er et ondsinnet Windows-program hvis operatører bruker det til å utføre de såkalte overleggsangrepene. Denne angrepsteknikken fokuserer på å stjele økonomiske data fra ofre ved å vise falske phishing -meldinger på toppen av legitime applikasjoner og nettsteder. Når det gjelder ZE Loader, er de kriminelle rettet mot banker, online betalingsprosessorer og kryptokurrencyutvekslinger. Angriperen er i stand til å samhandle med offerets maskin i sanntid, og forbedrer derfor finheten i hele operasjonen.

Vanligvis ender ofrene for ZE Loader med å samhandle med skadelig programvare på grunn av phishing -e -post, falske nedlastinger eller piratkopiert programvare. Når den er kjørt, vil ZE Loader gjøre noen endringer i Windows -installasjonen. Disse endringene gir den eksterne angriperen lettere tilgang:

• Det sikrer at trojaneren kjører med administratortillatelser.
• Den etablerte en Remote Desktop Protocol (RDP) tilkobling til kommando-og-kontroll-serveren.
• ZE Loader muliggjør flere RDP -tilkoblinger på den infiserte enheten ved å tukle med Windows -registret.
• Skadelig programvare oppretter også en ny brukerkonto med navnet Administart0r og passordet 123mudar.
• Til slutt sørger implantatet for å tillate RDP -tilkoblinger gjennom Windows -brannmuren.

I mellomtiden vil skadelig programvare også slippe noen filer på offerets maskin. Noen av disse er designet for å løsne sikkerhetstiltakene, mens en JDK_SDK -fil inneholder alle eiendelene som Trojan bruker under angrepet. Dette er ganske uvanlig. Vanligvis henter trojanere som utfører overleggsangrep sine bilder og phishing -sider fra den eksterne serveren. Denne skadelige programvaren lagrer imidlertid alle disse eiendelene i en kryptert tilstand på offerets maskin.

ZE Loader -operatører organiserer angrep gjennom RDP -tilkoblinger

ZE Loader overvåker aktivt nyåpnede prosesser og aktive nettlesersessioner. Hvis den identifiserer at brukeren prøver å laste inn et av de støttede nettbanknettstedene eller en app som trojaneren retter seg mot, vil angriperen motta et varsel. Når de kriminelle kobler seg til via RDP, kan de begynne å utføre kommandoer. Vanligvis vil det vise phishing -eiendelene fra JDK_SDK -filen som ZE Loader hadde med seg. Kriminelle er i stand til å spille ut forskjellige scenarier for å stjele data. For eksempel kan de be brukeren om påloggingsinformasjon, kredittkortdata, tofaktorautentisering og mer.

Selv om ZE Loader ikke utfører det mest sofistikerte overleggsangrepet vi har sett, er det fortsatt et veldig farlig stykke skadelig programvare. Beskytt Windows-systemene mot slike angrep ved å bruke oppdaterte antivirusverktøy. Sørg selvfølgelig også for å lære hvordan du surfer på nettet trygt.