Badacze bezpieczeństwa z Blackpoint SOC wykryli nową kampanię malvertisingu i zatruwania wyników wyszukiwania (SEO poisoning), wymierzoną w użytkowników szukających Microsoft Teams.
Co się dzieje
- Cyberprzestępcy uruchamiają złośliwe reklamy prowadzące do fałszywej witryny (teams-install[.]top), podszywającej się pod portal pobierania Teams firmy Microsoft.
- Pobierany plik: MSTeamsSetup.exe (ta sama nazwa co oficjalny instalator).
- Podpisany certyfikatami firm 4th State Oy i NRM Network Risk Management Inc, aby wyglądać na legalny.
- Umieszcza plik CaptureService.dll w
%APPDATA%\Roaming. - Tworzy zaplanowane zadanie („CaptureService”), które uruchamia się ponownie co 11 minut, zapewniając trwałą obecność.
Złośliwe oprogramowanie Oyster
Znane jako Broomstick / CleanUpLoader, Oyster daje atakującym:
- Zdalne wykonywanie poleceń
- Dostarczanie ładunków
- Możliwość przesyłania plików
- Początkowy dostęp dla operatorów ransomware, takich jak Rhysida
Dlaczego to ważne
Ta kampania wpisuje się w niebezpieczny trend: nadużywanie reklam w wyszukiwarkach i zatruwania wyników wyszukiwania (SEO poisoning) do rozpowszechniania powszechnie dostępnego złośliwego oprogramowania pod przykrywką zaufanych narzędzi. Fałszywe instalatory Chrome, PuTTY i WinSCP zaobserwowano już w podobnych kampaniach.
Zalecenia dotyczące bezpieczeństwa
- Administratorzy: Zawsze pobieraj Teams i inne narzędzia IT ze zweryfikowanych domen (np. microsoft.com).
- Unikaj klikania reklam w wyszukiwarkach, które coraz częściej są wykorzystywane przez cyberprzestępców.
- Monitoruj podejrzane zaplanowane zadania lub nieznane biblioteki DLL w
%APPDATA%. - Edukuj pracowników w zakresie zagrożeń związanych z malvertisingiem.
👉 To kolejne przypomnienie, że atakujący wykorzystują zaufanie do wyników wyszukiwania równie chętnie jak luki techniczne. Kilka dodatkowych sekund poświęconych na weryfikację źródła pobierania może zapobiec dotkliwemu włamaniu.
Aby chronić organizacje przed malvertisingiem, Alcaeus Services koncentruje się na zabezpieczaniu źródeł pobierania, monitorowaniu złośliwego oprogramowania utrzymującego się w systemach oraz wzmacnianiu ochrony stacji końcowych, aby zapobiegać infekcjom typu backdoor, takim jak Oyster.
