มัลแวร์ ChromeLoader แพร่กระจายไปทั่วโลก โจมตีทั้ง Windows และ Mac

ในเดือนนี้ จำนวนมัลแวร์ ChromeLoader เพิ่มขึ้นหลังจากสร้างความหายนะอย่างต่อเนื่องนับตั้งแต่ต้นปี ซึ่งทำให้การแฮ็กเบราว์เซอร์กลายเป็นภัยคุกคามที่แพร่หลาย

ChromeLoader เป็นประเภทของแฮกเกอร์เบราว์เซอร์ที่สามารถปรับแต่งการตั้งค่าเบราว์เซอร์ของเหยื่อเพื่อแสดงผลการค้นหาที่โฆษณาจั๊งแวร์ รันอัตโนมัติในเว็บไซต์สำรวจปลอม แจกของรางวัลปลอม และโฆษณาเกมสำหรับผู้ใหญ่และเว็บไซต์หาคู่

ผู้ที่อยู่เบื้องหลังมัลแวร์นี้จะได้รับประโยชน์ทางการเงินผ่านระบบการตลาดแบบพันธมิตร

มีมัลแวร์ประเภทนี้อยู่จำนวนมาก แต่ ChromeLoader โดดเด่นในเรื่องความคงอยู่ ขนาด และเส้นทางการติดไวรัส ขอบคุณ การใช้ PowerShell ในทางที่ผิด อย่างก้าวร้าว

การใช้ PowerShell ในทางที่ผิด

นักวิจัยจาก Red Canary ซึ่งติดตามกิจกรรมของ ChromeLoader มาตั้งแต่เดือนกุมภาพันธ์ ระบุว่า ผู้ควบคุมใช้ ไฟล์เก็บถาวร ISO ที่เป็นอันตราย เพื่อแพร่เชื้อมัลแวร์ให้กับเหยื่อ

โดยทั่วไปไฟล์ ISO ที่เป็นอันตรายจะปลอมตัวเป็นซอฟต์แวร์หรือเกมที่ถอดรหัสเพื่อให้เหยื่อดาวน์โหลดและเปิดใช้งานตัวเอง ยังมีโฆษณาบน Twitter สำหรับเกม Android ที่ถูกแคร็กพร้อมรหัส QR ซึ่งนำไปยังหน้าดาวน์โหลดมัลแวร์โดยตรง

เมื่อผู้ใช้ดับเบิลคลิกไฟล์ ISO ที่เป็นอันตราย ไฟล์นั้นจะถูกติดตั้งเป็นไดรฟ์ซีดีรอมเสมือน มันจะมีไฟล์ปฏิบัติการที่มีนามสกุล .exe เมื่อเรียกใช้ มันจะทริกเกอร์ ChromeLoader และถอดรหัสคำสั่ง PowerShell พร้อมความสามารถในการดึงไฟล์แคชทรัพยากรระยะไกลและโหลดเป็น ส่วนขยายของ Google Chrome

เมื่อดำเนินการเสร็จแล้ว PowerShell จะลบงานที่กำหนดเวลาไว้ซึ่งทำให้ Chrome ติดไวรัสด้วยส่วนขยายที่สามารถแทรกซึมเข้าสู่เบราว์เซอร์อย่างเงียบๆ และจัดการผลการค้นหาและดำเนินการอื่นๆ

macOS ยังมีช่องโหว่เช่นกัน

ผู้ที่อยู่เบื้องหลัง ChromeLoader ยังมุ่งเป้าไปที่คอมพิวเตอร์ที่ใช้ macOS อีกด้วย พวกเขาต้องการควบคุมทั้ง Chrome และSafariที่ทำงานบน macOS

ห่วงโซ่การติดเชื้อบน macOS คล้ายกับบน Windows แต่แทนที่จะใช้ ISO พวกเขากลับใช้ไฟล์ DMG (Apple Disk Image) ซึ่งเป็นรูปแบบทั่วไปในระบบปฏิบัติการของ Apple

นอกจากนี้ แทนที่จะดำเนินการติดตั้ง เวอร์ชัน ChromeLoader บน macOS จะใช้สคริปต์ bash ของตัวติดตั้งเพื่อดาวน์โหลดและแตกส่วนขยาย ChromeLoader ในไดเร็กทอรี "private/var/tmp"

เพื่อให้คงอยู่ได้นานที่สุด ChromeLoader จะเพิ่มไฟล์การตั้งค่า ('plist') ไปที่โฟลเดอร์ '/Library/LaunchAgents' วิธีนี้จะช่วยให้มั่นใจว่าทุกครั้งที่ผู้ใช้เข้าสู่ระบบเซสชันกราฟิก สคริปต์ ChromeLoader Bash จะทำงานอย่างต่อเนื่อง

หากต้องการตรวจสอบและลบส่วนขยาย ให้ทำตามคำแนะนำเหล่านี้:

• ตรวจสอบและลบส่วนขยายบน Google Chrome, Safari, Firefox

นอกจากนี้ คุณยังสามารถตรวจสอบการตั้งค่าเบราว์เซอร์อื่น ๆ เพื่อดูว่ามีสิ่งผิดปกติหรือไม่ หากคุณพบการตั้งค่าแปลก ๆ ให้คืนค่าโหมดเดิมเพื่อแก้ไขปัญหา