Хакери използват съобщения в LinkedIn за разпространение на RAT чрез DLL Sideloading

Изследователи по киберсигурност разкриха нова фишинг кампания, която експлоатира лични съобщения в социалните мрежи за разпространение на зловредни полезни товари, вероятно с цел внедряване на троянски кон за отдалечен достъп (RAT).

Дейността включва доставка на „превърнати в оръжие“ файлове чрез странично зареждане на библиотеки – DLL side-loading, комбинирани с легитимен Python скрипт с отворен код за тестове за пробив, се казва в доклад на ReliaQuest, споделен с The Hacker News.

Атаката включва свързване с високопоставени лица чрез съобщения в LinkedIn, установяване на доверие и подмамването им да изтеглят зловреден WinRAR саморазархивиращ се архив (SFX). Веднъж стартиран, архивът извлича четири различни компонента:

• Легитимно приложение за четене на PDF с отворен код.
• Зловредна DLL библиотека, която се зарежда странично от PDF четеца.
• Преносимо изпълнимо решение на интерпретатора на Python.
• RAR файл, който вероятно служи за примамка.

Веригата на заразяване се активира при стартиране на PDF четеца, което предизвиква страничното зареждане на компрометираната DLL библиотека. Използването на DLL side-loading става все по-разпространена техника за избягване на засичането и прикриване на зловредната дейност чрез използване на легитимни процеси.

През последната седмица най-малко три документирани кампании са използвали DLL side-loading за доставка на фамилии зловреден софтуер, проследявани като LOTUSLITE and PDFSIDER, заедно с други масови троянски коне и крадци на информация.

В кампанията, наблюдавана от ReliaQuest, заредената чрез sideloading библиотека се използва за внедряване на Python интерпретатора в системата и създаване на ключ в системния регистър, който гарантира автоматичното му изпълнение при всяко влизане в системата. Основната задача на интерпретатора е да изпълни Base64-енкодиран шелкод с отворен код директно в паметта, за да се избегне оставянето на форензични артефакти върху диска.

Финалният полезен товар се опитва да комуникира с външен сървър, предоставяйки на атакуващите постоянен отдалечен достъп до компрометирания хост и извличане (exfiltrating) на интересни за тях данни.

Злоупотребата с легитимни инструменти с отворен код, съчетана с фишинг съобщения в социалните мрежи, показва, че фишинг атаките не се ограничават само до имейли и че алтернативните методи за доставка могат да експлоатират пропуски в сигурността, за да увеличат шансовете за успех и проникване в корпоративни среди.

ReliaQuest сподели пред The Hacker News, че кампанията изглежда широкообхватна и опортюнистична, като дейността обхваща различни сектори и региони. „Въпреки това, тъй като тази дейност се разиграва в директни съобщения, а платформите на социалните медии обикновено се наблюдават по-малко от имейлите, е трудно да се определи пълният ѝ мащаб“, добавят те.

„Този подход позволява на атакуващите да заобикалят засичането и да мащабират операциите си с минимални усилия, като същевременно поддържат постоянен контрол върху компрометираните системи“, посочват от компанията. „Веднъж влезли вътре, те могат да ескалират привилегиите си, да се придвижват странично в мрежите и да извличат данни.“

Това не е първият път, в който LinkedIn се използва за целеви атаки. През последните години множество севернокорейски групи, включително свързани с кампаниите CryptoCore and Contagious Interview, са избирали жертви, като са се свързвали с тях в LinkedIn под претекст за възможност за работа и са ги убеждавали да стартират зловреден проект като част от предполагаема оценка или преглед на код.

През март 2025 г. Cofense също детайлизира фишинг кампания на тема LinkedIn, която използва примамки, свързани с известия от LinkedIn InMail, за да накара получателите да кликнат върху бутон „Прочетете повече“ или „Отговорете“ и да изтеглят софтуер за отдалечен десктоп, разработен от ConnectWise, за придобиване на пълен контрол върху хостовете на жертвите.

„Социалните медии, които се използват масово от бизнеса, представляват слабо място в сигурността на повечето организации“, казва ReliaQuest. „За разлика от електронната поща, където организациите разполагат с инструменти за мониторинг на сигурността, в личните съобщения в социалните мрежи липсва видимост и контроли за сигурност, което ги прави привлекателен канал за доставка на фишинг кампании.“

„Организациите трябва да признаят социалните медии като критична повърхност за атака за първоначален достъп и да разширят защитата си отвъд контролите, фокусирани върху имейлите.“

Source: https://thehackernews.com/