Trojan manipula extensões dos navegadores para roubar criptomoedas

O Trojan Razy tem como alvo as extensões legítimas do navegador e está falsificando os resultados da pesquisa na tentativa de invadir as carteiras de criptomoedas e roubar moedas virtuais das vítimas.

De acordo com uma nova pesquisa publicada pela Kaspersky Lab, o malware, conhecido como Razy, é um Trojan que usa algumas das técnicas mais incomuns no registro quando infecta sistemas.

Detectado pela Kaspersky como Trojan.Win32.Razy.gen, o Razy é um arquivo executável que se espalha através de malvertising em sites e também é empacotado e distribuído em serviços de hospedagem de arquivos enquanto se disfarça de software legítimo.

O principal aspecto do malware é sua capacidade de roubar a criptomoeda. Razy se concentra em comprometer navegadores, incluindo o Google Chrome, o Mozilla Firefox e o Yandex. Existem vetores de infecção diferentes, dependendo do tipo de navegador encontrado em um sistema infectado.

O Razy é capaz de instalar extensões de navegador maliciosas, o que não é novidade. No entanto, o cavalo de Tróia também é capaz de infectar extensões legítimas já instaladas, desabilitando as verificações de integridade para extensões e atualizações automáticas para navegadores.

No caso do Google Chrome, o Razy edita o arquivo chrome.dll para desabilitar as verificações de integridade de extensão e renomeia esse arquivo para quebrar o caminho padrão. As chaves do registro são criadas para desativar as atualizações do navegador.

“Encontramos casos em que diferentes extensões do Chrome foram infectadas”, dizem os pesquisadores. “Uma extensão, em especial, vale a pena mencionar: o Chrome Media Router é um componente do serviço com o mesmo nome em navegadores baseados no Chromium. Ele está presente em todos os dispositivos em que o navegador Chrome está instalado, embora não seja exibido no lista de extensões instaladas. ”

Para comprometer o Firefox, uma extensão maliciosa chamada “Proteção do Firefox” está instalada. Quando se trata do Yandex, o Trojan também desativa as verificações de integridade, renomeia o arquivo browser.dll e cria chaves de registro para evitar atualizações do navegador. Uma extensão maliciosa chamada Yandex Protect é então baixada e instalada.

A maioria das funções do malware é servida através de um único script .js que permite ao malware procurar endereços de carteira criptografada, substituir esses endereços por outros controlados por agentes de ameaça, falsificar imagens e códigos QR que apontam para carteiras, bem como modificar o código. páginas web de trocas de criptomoedas.

O Razy também é capaz de falsificar os resultados de busca do Google e do Yandex em navegadores infectados, o que pode resultar em vítimas visitar inadvertidamente páginas da web maliciosas. O cavalo de tróia irá frequentemente interferir nos resultados relacionados à criptomoeda, na tentativa de induzir os usuários a entregar suas credenciais – por exemplo, promovendo novos serviços ou negociando vendas de moedas que exijam que o usuário faça o login se desejar participar.

Nos três casos de navegadores, vários scripts adicionais são baixados. Dois dos scripts, firebase-app.js e firebase-messaging.js, são coletores de estatísticas legítimos, enquanto outros dois, bgs.js e extab.js, são scripts maliciosos e ofuscados que modificam páginas da web e permitem que anúncios mal-intencionados sejam inseridos .

Fonte: ZDNet

Comentários encerrados.

%d blogueiros gostam disto: