VexTrio kwaadaardig netwerk verspreidt malware

Onderzoekers hebben ontdekt dat meer dan 70.000 ogenschijnlijk legitieme websites zijn overgenomen en opgenomen in een netwerk, bekend als VexTrio, dat door criminelen wordt gebruikt voor het verspreiden van malware, het inzetten van phishing-pagina's en het delen van andere illegale inhoud. Dit netwerk, actief sinds 2017 of eerder, werkt op dezelfde manier als verkeersdistributiesystemen (TDS'en) die in marketing worden gebruikt om gebruikers naar specifieke sites te leiden op basis van hun interesses. VexTrio compromitteert tienduizenden websites, stuurt hun bezoekers door naar pagina's waarop malwaredownloads worden gehost, valse inloginterfaces voor diefstal van inloggegevens, of neemt deel aan andere frauduleuze cyberactiviteiten.

VexTrio werkt vergelijkbaar met MaaS

Naar verluidt zijn ongeveer 60 aangesloten bedrijven betrokken bij het VexTrio-netwerk. Sommige partners dragen gecompromitteerde websites bij en sturen gebruikers naar de TDS-infrastructuur van VexTrio, die vervolgens de browsers van slachtoffers naar schadelijke pagina's leidt op basis van specifieke criteria. VexTrio brengt kosten in rekening aan de criminelen achter de frauduleuze sites voor het doorsturen van webverkeer, en degenen die verantwoordelijk zijn voor het aanbieden van de gecompromitteerde websites ontvangen een deel van de winst. De TDS stuurt gebruikers ook door naar oplichtingswebsites die worden beheerd door de VexTrio-crew, waardoor ze rechtstreeks kunnen profiteren van hun frauduleuze activiteiten.

Check Point classificeerde VexTrio in zijn wereldwijde dreigingsindex van januari als een aanzienlijk veiligheidsrisico vanwege zijn grote bereik en geavanceerde opzet. Deze beoordeling komt overeen met een recent onderzoek van Infoblox, waarin VexTrio werd bestempeld als de “meest doordringende bedreiging” voor zijn klanten. Infoblox volgt VexTrio al twee jaar en heeft tekenen van compromissen benadrukt waar IT-omgevingen zich bewust van moeten zijn.

Interessant is dat SocGholish (ook bekend als FakeUpdates) een soort malware is die via VexTrio wordt verspreid. Deze vorm werd in januari de meest voorkomende malware en trof vier procent van de waargenomen organisaties wereldwijd. SocGholish, geschreven in JavaScript, wordt geactiveerd bij het bezoeken van een gecompromitteerde website en richt zich op Windows-machines door zich voor te doen als een browserupdate. Eenmaal geaccepteerd en uitgevoerd, infecteert het de pc van het slachtoffer met backdoor-malware, ransomware en andere kwaadaardige elementen.