Дослідники з компанії Volexity виявили, що хакери використовували зламування одного інтернет-провайдера для поширення шкідливого ПЗ серед користувачів Windows і Mac.
що відомо
Атака полягала у зламі маршрутизаторів чи аналогічних пристроїв інфраструктури провайдера. Далі зловмисники використовували контроль над пристроями для маніпуляції відповідями системи доменних імен легітимних хостів, поширюючи принаймні оновлення для шести різних додатків Windows і macOS, включаючи 5KPlayer, Quick Heal, Rainmeter, Partition Wizard, а також Corel і Sogou.
Оскільки механізми оновлення не використовували TLS або криптографічні підписи, зловмисники змогли перенаправити користувачів на сервери, навіть якщо ті використовували публічні DNS-сервіси, такі як Google або Cloudflare.
Схема, що ілюструє хід атаки зловмисників із StormBamboo
Хакери, відомі як StormBamboo, використовували DNS-підміну для доставки шкідливих файлів, які потім завантажували додаткові шкідливі компоненти. Наприклад, програма 5KPlayer завантажувала підроблений файл Youtube.config, який містив шкідливе програмне забезпечення MACMA для macOS або POCOSTICK для Windows. Ці програми надавали хакерам повний доступ до пристроїв, включаючи запис екрана, аудіо та клавіатури.
Volexity також виявила, що хакери використовували підміну DNS для захоплення домену Microsoft, що використовується для перевірки інтернет-з'єднання. Це дозволило їм перехоплювати HTTP-запити та спрямовувати їх на свої сервери. Дослідники попереджають, що такі атаки можуть продовжуватись і рекомендують використовувати DNS over HTTPS або TLS для захисту.
Про якого інтернет-провайдера йдеться - фахівці не повідомили, сказавши лише, що "це не величезний інтернет-провайдер, або той, про який ви, ймовірно, знаєте".
Джерело: ArsTechnica