Programul malware ChromeLoader se răspândește în întreaga lume, atacând atât Windows, cât și Mac

Luna aceasta, programul malware ChromeLoader crește în număr după ce a provocat ravagii într-un ritm constant de la începutul anului. Acest lucru face ca deturnarea browserului să fie o amenințare larg răspândită.

ChromeLoader este un tip de hijacker de browser care poate modifica setările browserului web ale victimei pentru a afișa rezultate de căutare care promovează programe nedorite, rulează automat pe site-uri de sondaje false, cadouri false și promovează jocuri pentru adulți și site-uri de întâlniri.

Cei din spatele acestui malware vor primi beneficii financiare printr-un sistem de marketing afiliat.

Există multe programe malware de acest tip, dar ChromeLoader se remarcă prin persistența, scalarea și calea de infecție datorită abuzului său agresiv de PowerShell .

Abuz PowerShell

Potrivit cercetătorilor de la Red Canary, care urmăresc activitatea ChromeLoader din februarie, operatorii folosesc un fișier de arhivă ISO rău intenționat pentru a infecta victimele cu malware.

De obicei, fișierele ISO rău intenționate vor fi deghizate ca software sau jocuri sparte pentru ca victimele să se descarce și să se activeze. Există chiar și reclame pe Twitter pentru jocuri Android sparte cu coduri QR care duc direct la pagini de descărcare a programelor malware.

Când utilizatorul face dublu clic pe fișierul ISO rău intenționat, acesta este montat ca o unitate CD-ROM virtuală. Acesta va conține fișiere executabile cu extensia .exe. Când rulează, va declanșa ChromeLoader și va decoda o comandă PowerShell cu capacitatea de a prelua un fișier cache de resurse de la distanță și de a-l încărca ca extensie Google Chrome .

Odată terminat, PowerShell va șterge sarcinile programate care au infectat Chrome cu o extensie care se poate infiltra în tăcere în browser și poate manipula rezultatele căutării și poate efectua alte acțiuni.

macOS este, de asemenea, vulnerabil

Oamenii din spatele ChromeLoader vizează și computerele care rulează macOS. Vor să manipuleze atât Chrome, cât și Safari care rulează pe macOS.

Lanțul de infecție pe macOS este similar cu cel de pe Windows, dar în loc să folosească ISO-uri, acestea folosesc fișiere DMG (Imagine de disc Apple), un format mai comun pe sistemul de operare Apple.

Mai mult, în loc să execute programul de instalare, varianta ChromeLoader pe macOS folosește scriptul bash al programului de instalare pentru a descărca și despacheta exensia ChromeLoader în directorul „privat/var/tmp”.

Pentru a rămâne prezent cât mai mult posibil, ChromeLoader va adăuga un fișier de preferințe („plist”) în folderul „/Library/LaunchAgents”. Acest lucru asigură că de fiecare dată când un utilizator se conectează la o sesiune grafică, scriptul ChromeLoader Bash poate rula continuu.

Pentru a verifica și șterge extensiile, urmați aceste instrucțiuni:

• Verificați și ștergeți extensiile pe Google Chrome, Safari, Firefox

În plus, puteți verifica și alte setări ale browserului pentru a vedea dacă ceva este neobișnuit. Dacă găsiți setări ciudate, restabiliți modul original pentru a rezolva problema.