TamperedChef atakuje Europę. Jak fałszywy PDF infekuje organizacje?

Nowa kampania złośliwego oprogramowania, TamperedChef, atakuje europejskie organizacje za pomocą fałszywego edytora plików PDF o nazwie AppSuite PDF Editor. Rozpowszechniane za pośrednictwem fałszywych stron internetowych i promowane w ramach kampanii Google Ads, to złośliwe oprogramowanie służące do kradzieży danych uwierzytelniających stanowi poważne zagrożenie dla przedsiębiorstw z wielu sektorów.

Jak działa TamperedChef

Atakujący utworzyli wiele fałszywych stron internetowych w celu rozpowszechniania fałszywego narzędzia PDF. Po zainstalowaniu złośliwe oprogramowanie pozostaje w stanie uśpienia przez około 56 dni, co odpowiada typowemu czasowi trwania kampanii Google Ads. Opóźnienie to pomaga mu uniknąć wykrycia podczas wczesnych kontroli bezpieczeństwa.

Po aktywacji TamperedChef:

• Tworzy trwałość w systemie, wykorzystując wpisy w Rejestrze systemu Windows i zaplanowane zadania.
• Kradnie dane uwierzytelniające z przeglądarek, pliki cookie sesji i poufne dane, zamykając procesy przeglądarek i wykorzystując (eksploatując) DPAPI.
• Przeprowadza rozpoznanie systemu w celu zidentyfikowania zainstalowanych rozwiązań zabezpieczających.
• Działa jako backdoor do dostarczania przyszłych ładunków.

Dlaczego to ma tak istotne znaczenie

Potwierdzone przypadki infekcji miały już wpływ na przedsiębiorstwa w Europie. Długi okres uśpienia złośliwego oprogramowania pozwala atakującym przejąć kontrolę i poruszać się po sieci bez wykrycia. Zaawansowane techniki maskowania sprawiają, że wykrycie tego oprogramowania przez tradycyjne narzędzia antywirusowe jest niezwykle trudne.

Natychmiastowe działania mające na celu zmniejszenie ryzyka

Aby zmniejszyć ryzyko infekcji, należy natychmiast podjąć następujące kroki:

1. Blokuj lub monitoruj pobieranie programu AppSuite PDF Editor i podobnych narzędzi z niezweryfikowanych źródeł.
2. Ostrzegaj pracowników, zwłaszcza tych, którzy często pobierają oprogramowanie z zewnętrznych źródeł, o ryzyku związanym z fałszywymi edytorami plików PDF.
3. Dodaj wykrywanie wskaźników trwałości, takich jak nietypowe wpisy w rejestrze lub zaplanowane zadania odwołujące się do PDFEditorUpdater.
4. Użyj narzędzi do wykrywania zachowań (EDR, Sysmon), żeby zaznaczyć:
   • Wpisy automatycznego uruchamiania rejestru.
   • Wymuszone zamknięcie przeglądarek i prób dostępu DPAPI.
   • Podejrzane połączenia wychodzące z sieci.
5. Wprowadź listę aplikacji dopuszczonych do użycia i surowe zasady instalacji narzędzi innych producentów.
6. Podejrzane działania należy niezwłocznie zgłaszać zespołowi ds. bezpieczeństwa IT.

Jak Nomios może pomóc

Nomios wspiera organizacje w obronie przed zaawansowanymi zagrożeniami, takimi jak TamperedChef, oferując rozwiązania w zakresie cyberbezpieczeństwa i usługi zarządzane. Nasza usługa zarządzanego wykrywania i reagowania (MDR) zapewnia całodobowy monitoring, zaawansowane wykrywanie zagrożeń i szybką reakcję na incydenty. Oferujemy również zabezpieczenia punktów końcowych, wdrażanie EDR oraz programy podnoszenia świadomości w zakresie bezpieczeństwa, aby zminimalizować ryzyko infekcji złośliwym oprogramowaniem.

Jeśli chcesz wzmocnić swoje zabezpieczenia przed kampaniami takimi jak TamperedChef, skontaktuj się z naszymi ekspertami już dziś.