Onderzoekers van Trellix hebben een phishingcampagne ontdekt die een pdf-bestand inzet als wapen om de Sirius-backdoor op slachtoffersystemen te installeren. De aanval begint met een phishingmail die zich voordoet als een belastingfactuur van bezorgdienst FedEx, met een zip-bestand als bijlage.
In die zip zit een pdf die bij het openen gebruikmaakt van de functies /OpenAction en /Launch, twee ingebouwde pdf-mogelijkheden die normaal gesproken dienen om bijvoorbeeld automatisch naar een bepaalde pagina te springen. Hier worden ze misbruikt om zonder verdere actie van het slachtoffer een PowerShell-commando te starten. Dat commando haalt de uiteindelijke payload op en voert die uit via process hollowing, een techniek waarbij kwaadaardige code wordt verstopt in het geheugen van een legitiem Windows-proces. De campagne gebruikt daarvoor zowel msbuild.exe als svchost.exe, twee standaard Windows-onderdelen die zelden argwaan wekken bij beveiligingssoftware.
Deze methode laat zien hoe aanvallers vertrouwde bestandstypen als pdf blijven inzetten om detectie te ontlopen, juist omdat gebruikers een pdf doorgaans als onschuldig beschouwen. Nederlandse organisaties doen er goed aan e-mailbijlagen met zip-bestanden standaard extra te laten scannen, en medewerkers te waarschuwen dat ook een pdf schadelijke acties kan triggeren zodra die wordt geopend, zeker bij een onverwachte factuur van een bezorgdienst.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.