Вредоносное ПО Electron Bot проникает в Microsoft Store через клоны популярных игр

Вредонос Electron Bot проникает в официальный Microsoft Store через клоны популярных игр, включая Subway Surfer и Temple Run. Атаки уже привели к заражению примерно 5000 машин в Швеции, Израиле, Испании и на Бермудских островах, пишет Хакер.

Хакерскую кампанию выявили аналитики Check Point, которые сообщают, что Electron Bot представляет собой бэкдор, который дает злоумышленникам полный контроль над скомпрометированными машинами, а также поддерживает удаленное выполнение команд и взаимодействие в режиме реального времени.

Все выявленные вредоносные игры обладали заявленной функциональностью (то есть работали), а вредоносные операции разворачивались в фоновом режиме. В итоге у малвари даже появляются положительные отзывы от пользователей в Microsoft Store. Например, Temple Endless Runner 2, опубликованная 6 сентября 2021 года, имела почти пять звезд и 92 отзыва.

Пользователям следует опасаться игр от таких разработчиков, как Lupy games, Crazy 4 games, Jeuxjeuxkeux games, Akshi games, Goo Games и Bizzon Case, предупредили эксперты.

Исследователи говорят, что основной целью хакеров, похоже, является реклама в социальных сетях и клик-фрод мошенничество. Для этого злоумышленники используют учетные записи в Facebook, Google, YouTube и Sound Cloud, поскольку Electron Bot поддерживает создание аккаунтов, а также комментирование и лайки на этих платформах.

Напомню, что впервые активность Electron Bot была обнаружена в конце 2018 года, когда ранняя версия вредоноса проникла в Microsoft Store под видом Album by Google Photos от фиктивной организации Google LLC.

С тех пор авторы вредоноса добавили в свой инструмент ряд новых функций и расширили возможности уклонения от обнаружения, включая динамическую загрузку скриптов. Малварь написана на Electron (отсюда и название) и может эмулировать естественное поведение человека при просмотре сайтов и выполнять различные действия. Для этого Electron Bot открывает новое скрытое окно браузера (с помощью движка Chromium в среде Electron), устанавливает соответствующие HTTP-заголовки, отображает запрошенную HTML-страницу и, наконец, эмулирует движения мыши, прокрутку, клики и ввод с клавиатуры.

Основными целями Electron Bot в текущей кампании являются:

• отравление SEO (SEO poisoning): создание сайтов с вредоносным ПО, которые занимают высокие позиции в результатах поиска Google;
• скликивание рекламы: подключение к удаленным сайтам в фоновом режиме и нажатие на невидимую рекламу;
• продвижение учетных записей в социальных сетях: трафик направляется на определенный контент и его продвижение в социальных сетях;
• продвижение товаров в интернете: повышение рейтинга магазинов посредством кликов по их рекламе.

Исследователи считают, что операторы малвари базируются в Болгарии, но об их личностях ничего не сообщается.

В отчете подчеркивается, что, нынешняя версия Electron Bot не наносит катастрофического ущерба зараженным машинам, однако злоумышленники могут в любой момент изменить код пейлоада второго уровня и заразить машины жертв RAT или вымогателем.