Badacze cyberbezpieczeństwa odkryli nową kampanię phishingową nadużywającą prywatnych wiadomości w mediach społecznościowych, zwłaszcza na LinkedIn, do dystrybucji malware i uzyskania trwałego zdalnego dostępu do systemów ofiar.
🔍 Jak działa atak
Atakujący podszywają się pod zaufane kontakty i nawiązują rozmowę z celami za pośrednictwem bezpośrednich wiadomości na LinkedIn. Ofiary są nakłaniane do pobrania złośliwego samorozpakowującego się archiwum WinRAR (SFX), które zawiera:
📄 Legalny, otwartoźródłowy czytnik PDF
🧩 Złośliwą bibliotekę DLL, ładowaną przez czytnik PDF w ramach side-loadingu
🐍 Przenośny interpreter Pythona
📦 Wabikowy plik RAR
Po uruchomieniu czytnika PDF złośliwa biblioteka DLL jest ładowana w ramach side-loadingu, instaluje w systemie Pythona i tworzy klucz rejestru Run zapewniający trwałość. Interpreter Pythona wykonuje shellcode zakodowany w Base64 bezpośrednio w pamięci, unikając wykrycia opartego na analizie dysku.
🛠 Dlaczego to jest skuteczne
- DLL side-loading ukrywa złośliwą aktywność za legalnym oprogramowaniem
- Narzędzia open source budzą mniej podejrzeń i omijają mechanizmy kontroli bezpieczeństwa
- Wiadomości prywatne w mediach społecznościowych są znacznie mniej monitorowane niż e-mail
📡 Faza po przejęciu
Końcowy ładunek łączy się z zewnętrznym serwerem, umożliwiając:
- Trwały zdalny dostęp (zachowanie przypominające RAT)
- Eksfiltrację danych
- Potencjalny ruch boczny i podnoszenie uprawnień
🚨 Badacze powiązali podobne techniki z niedawnymi kampaniami dostarczającymi LOTUSLITE, PDFSIDER oraz inne popularne trojany i programy kradnące informacje.
⚠️ Najważniejszy wniosek
Platformy mediów społecznościowych stały się krytyczną powierzchnią ataku. W przeciwieństwie do poczty e-mail wiadomości prywatne często nie podlegają monitorowaniu bezpieczeństwa na poziomie korporacyjnym, co czyni je idealnymi do ukrytego uzyskania początkowego dostępu.
Organizacje powinny:
✔ Traktować media społecznościowe jako pełnoprawny wektor ataku
✔ Szkolić użytkowników, aby nie ufali niezamawianym plikom i archiwom
✔ Monitorować zachowanie punktów końcowych, a nie tylko bramy poczty e-mail
