Κυβερνοεγκληματίες αξιοποιούν torrents δημοφιλών κινηματογραφικών τίτλων, μεταξύ των οποίων και η «Οδύσσεια» του Κρίστοφερ Νόλαν, για τη διανομή κακόβουλου λογισμικού, σύμφωνα με νέα έρευνα της Kaspersky. Η εκστρατεία έχει ήδη εντοπιστεί και στην Ελλάδα, ενώ παραμένει ενεργή τουλάχιστον από τα μέσα Αυγούστου.

Εκατοντάδες χρήστες και οργανισμοί σε διαφορετικές χώρες έχουν ήδη επηρεαστεί από μια νέα εκστρατεία κακόβουλου λογισμικού, η οποία εκμεταλλεύεται το ενδιαφέρον για δημοφιλείς ταινίες προκειμένου να μολύνει υπολογιστές.

Κρούσματα σε όλη την Ευρώπη

Σύμφωνα με την Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της Kaspersky, κρούσματα έχουν καταγραφεί, μεταξύ άλλων, στη Ρωσία, την Τουρκία, την Ιαπωνία, την Κένυα, την Ουγκάντα και την Κολομβία. Στην Ευρώπη έχουν εντοπιστεί θύματα στην Ελλάδα, την Ισπανία, την Ολλανδία, το Βέλγιο και τη Γερμανία.

Η εταιρεία κυβερνοασφάλειας αναφέρει ότι πρόκειται για μια εξελιγμένη επίθεση πολλαπλών σταδίων, η οποία βασίζεται σε μέχρι πρότινος άγνωστο κακόβουλο λογισμικό. Για τη διανομή του, οι δράστες χρησιμοποιούν torrent trackers και παρουσιάζουν τα μολυσμένα αρχεία ως αντίγραφα δημοφιλών κινηματογραφικών παραγωγών. Μεταξύ των τίτλων που χρησιμοποιήθηκαν ως «δόλωμα» βρίσκεται και η «Οδύσσεια» του Κρίστοφερ Νόλαν.

Κατά την Kaspersky, ένα δημοφιλές δημόσιο αποθετήριο αρχείων torrent παραβιάστηκε και αξιοποιήθηκε για τη διανομή του κακόβουλου φορτίου. Μεταξύ των θυμάτων που έχουν μέχρι στιγμής εντοπιστεί βρίσκονται όχι μόνο ιδιώτες, αλλά και οργανισμοί από τον δημόσιο και τον επιχειρηματικό τομέα, καθώς και εταιρείες που δραστηριοποιούνται στην πληροφορική, τη συμβουλευτική, το λιανεμπόριο, τις μεταφορές και τη γεωργία.

Η επίθεση εξελίσσεται σε διαδοχικά στάδια. Αρχικά ενεργοποιείται ένας loader, ο οποίος είναι σε θέση να αναγνωρίζει εάν το κακόβουλο αρχείο εκτελείται μέσα σε antivirus sandbox, δηλαδή σε απομονωμένο περιβάλλον που χρησιμοποιείται από εργαλεία κυβερνοασφάλειας για την εξέταση ύποπτων αρχείων.

Πώς γ αγκαθίσταται το torrent στους υπολογιστές

Η συγκεκριμένη δυνατότητα επιτρέπει στο malware να αντιλαμβάνεται πότε βρίσκεται υπό ανάλυση και να προσαρμόζει τη συμπεριφορά του, δυσχεραίνοντας τον εντοπισμό του.Όταν εγκατασταθεί κανονικά στη συσκευή του θύματος, ενεργοποιεί πρόσθετες μονάδες που επεκτείνουν τις δυνατότητές του και του επιτρέπουν να παραμένει στο σύστημα ακόμη και μετά από επανεκκίνηση του υπολογιστή.

Σύμφωνα με τους ερευνητές, το κακόβουλο λογισμικό μπορεί επίσης να παρακάμπτει τον Έλεγχο Λογαριασμού Χρήστη (User Account Control – UAC) των Windows. Με αυτόν τον τρόπο μπορεί να αποκτήσει αυξημένα δικαιώματα στο σύστημα χωρίς να εμφανιστεί η συνηθισμένη ειδοποίηση προς τον χρήστη. Στο τελικό στάδιο της επίθεσης, οι δράστες αποκτούν τη δυνατότητα απομακρυσμένης πρόσβασης στον μολυσμένο υπολογιστή.

Ιδιαίτερο στοιχείο της εκστρατείας αποτελεί η αξιοποίηση του blockchain Solana. Το malware το χρησιμοποιεί προκειμένου να ανακτήσει τη διεύθυνση του διακομιστή εντολών και ελέγχου (command-and-control server), μέσω του οποίου επικοινωνεί με την υποδομή των επιτιθέμενων.

Η μέθοδος αυτή μπορεί να καταστήσει δυσκολότερη την αντιμετώπιση της εκστρατείας, καθώς περιορίζει την αποτελεσματικότητα ενεργειών που βασίζονται αποκλειστικά στον αποκλεισμό ή την απενεργοποίηση συγκεκριμένων υποδομών.

«Η συγκεκριμένη εκστρατεία ξεχωρίζει, καθώς συνδυάζει ένα συνηθισμένο δόλωμα με έναν εξελιγμένο τεχνικό σχεδιασμό», αναφέρει ο Konstantin Isakov, ειδικός σε θέματα ασφάλειας της Kaspersky GReAT.
Όπως εξηγεί, η ενσωμάτωση κακόβουλου λογισμικού σε torrents δημοφιλών ταινιών αυξάνει τις πιθανότητες να κατεβάσουν τα αρχεία ανυποψίαστοι χρήστες. Μετά την ενεργοποίησή του, το malware επιχειρεί να αποφύγει τον εντοπισμό, να διατηρήσει την παρουσία του στο σύστημα και τελικά να εξασφαλίσει απομακρυσμένη πρόσβαση για τους δράστες.

Τι πρέπει να προσέχουν οι χρήστες

Με αφορμή τη νέα εκστρατεία, οι ειδικοί επισημαίνουν τη σημασία της λήψης αρχείων και λογισμικού μόνο από επίσημες ή αξιόπιστες πηγές. Ιδιαίτερη προσοχή απαιτείται σε torrents και άλλα αρχεία που παρουσιάζονται ως δημοφιλείς ταινίες, παιχνίδια ή άλλο ψυχαγωγικό περιεχόμενο, καθώς μπορεί να χρησιμοποιούνται ως μέσο εγκατάστασης malware.

Παράλληλα, συνιστάται η διατήρηση ενεργού και ενημερωμένου λογισμικού ασφαλείας, καθώς και η αποφυγή απενεργοποίησης του antivirus προκειμένου να εκτελεστεί ή να εγκατασταθεί ένα αρχείο που διαφορετικά αποκλείεται.

Για τις επιχειρήσεις, η Kaspersky προτείνει αυστηρότερους κανόνες σχετικά με την εγκατάσταση λογισμικού από εξωτερικές πηγές στις εταιρικές συσκευές, καθώς και τη χρήση εργαλείων προστασίας και αντιμετώπισης περιστατικών, όπως συστήματα EPP, EDR και XDR. Ιδιαίτερη σημασία αποδίδεται επίσης στη συνεχή ενημέρωση των ομάδων κυβερνοασφάλειας για τις νέες απειλές και στην αξιοποίηση εξειδικευμένων υπηρεσιών διερεύνησης και απόκρισης σε περιστατικά, όπου δεν υπάρχουν οι αντίστοιχοι πόροι στο εσωτερικό μιας επιχείρησης.