BIOPASS RAT verspreid via gecompromitteerde goksites
Een onbekende dreigingsactor gebruikt een nieuwe op Python gebaseerde payload om gebruikers van Chinese goksites te targeten. De malware wordt verspreid via frauduleuze berichten en pop-ups, die verschijnen op legitieme goksites - dit betekent dat de cybercriminelen op de een of andere manier de beveiliging van deze websites hebben weten te doorbreken. Het is belangrijk om toe te voegen dat de frauduleuze berichten meestal verschijnen wanneer de gebruiker toegang probeert te krijgen tot de live-ondersteuningssectie van de gecompromitteerde websites - dit kan het exacte onderdeel zijn waarvan de beveiliging is geschonden.
Pas op voor Flash Player- en Silverlight-prompts - het kan de BIOPASS RAT zijn
Gebruikers van de gecompromitteerde sites zien mogelijk een waarschuwing dat ze een update voor Adobe Flash Player of Microsoft Silverlight moeten downloaden - apps die nu zijn verouderd. In plaats van een legitiem installatieprogramma halen gebruikers echter een kopie van de gevaarlijke BIOPASS RAT op. Deze Remote Access Trojan (RAT) bevat veel functies, waaronder een zeer verrassende component die het scherm van de gecompromitteerde computer naar aanvallers streamt.
BIOPASS RAT heeft natuurlijk kenmerken die typisch zijn voor dit soort Trojaanse paarden. De operators kunnen het bestandssysteem openen en wijzigen, opdrachten op afstand uitvoeren, bestanden stelen, screenshots maken en meer. Het verrassende is echter het gebruik van Open Broadcaster Software (OBS) - een stukje software bedoeld voor livestreaming en video-opname. Verrassend genoeg gebruiken de criminelen het legitieme softwarepakket om een livestream van het gecompromitteerde systeemscherm op te zetten. Bovendien kan BIOPASS RAT gegevens kapen van webbrowsers en software die populair is in China - 2345 Explorer, Sogou Explorer, QQ Browser, 360 Chrome en andere.
Last but not least stelt BIOPASS RAT zijn aanvallers in staat om HTML- en JavaScript-bronnen te injecteren in de websites die de gebruiker bezoekt. Dit kan worden gebruikt om een zeer heimelijke man-in-the-middle-aanval uit te voeren die inloggegevens of andere informatie steelt. Hoewel de exacte daders van de BIOPASS RAT niet zijn geïdentificeerd, vermoeden onderzoekers dat de Winnti-hackers achter deze campagne en payload zitten.
