[Güvenlik Uyarısı] Sahte VPN Sitesi

Bir saldırgan, Vidar ve CryptBot şifre çalma truva atlarını yükleyen, sahte VPN programını destekleyen bir web sitesi oluşturdu. Bu trojanlar, kurbanın bilgisayarındaki kayıtlı tarayıcı bilgilerini ve diğer bilgileri çalarak saldırganın bilgisayarına gönderiyor.

Farklı bir kötü amaçlı yazılım bulaşması araştırılırken BleepingComputer, "en hızlı VPN" olduğunu iddia eden 'Inter VPN' adlı bir VPN programını tanıtan bir web sitesine rastladı. Daha sonra, aslında meşru VPN Pro yazılımının bir görüntüsü olan VPN clientinin gösterildiği fark edildi.

Sahte Inter VPN Web Sitesi

İndirilen programı analiz ettikten sonra, saldırganın VPN Pro uygulamasını başka kötü amaçlı yazılımları indirmek için bir Autohotkey komut dosyası kullanan trojanın içinde yeniden paketlediği keşfedildi.

Başlatıldığında, iplogger.org'a çeşitli bilgiler gönderilecek ve daha sonra sitede yayınlanan geçerli kampanyaya bağlı olarak bitbucket.org'dan Vidar ve CryptBot çalıştırılabilir dosyalarını indiren bir AutoHotkey betiği çalıştırılacak.

Truva atları indirildiğinde, saldırganın bilgisayarına çeşitli bilgiler göndermek üzere çalıştırılacaklar. Bu bilgiler kaydedilmiş tarayıcı kimlik bilgilerini, çerezleri, masaüstünün ekran görüntüsünü, metin dosyalarını, cryptocurrency cüzdanlarını ve daha fazlasını içerir.

CryptBot trafiği



Vidar trafiği

Bu işlem sırasında, zararlı yazılım VPN Pro yazılımını da bilgisayara yükleyecektir ve veri hırsızlığı arka planda gerçekleştiği için, kurban VPN'i test ederken yanlış bir şey olduğunu düşünmeyecektir.

Meşru VPN Pro yazılımı


Kullanıcılar kendilerini korumak için ziyaret ettikleri sitenin ilişkili bir hizmet veya uygulamanın yasal URL'si olduğundan emin olmalıdır. Ayrıca, bu siteler herhangi bir indirme işlemi sunuyorsa, yürütülmeden önce VirusTotal kullanılarak taranmaları gerekir.

Kaynak:

• Fake VPN Site Pushes CryptBot and Vidar Info-Stealing Trojans

Bu daha bir şey değil. Buna benzer çok sahte yazılımlar var da zaman yetmez yazmaya.