ChromeLoader-malware verspreidt zich wereldwijd en valt zowel Windows als Mac aan

Deze maand neemt het aantal ChromeLoader-malware toe, nadat het sinds het begin van het jaar gestaag voor problemen zorgde. Dit maakt browserkaping tot een wijdverbreide bedreiging.

ChromeLoader is een type browserkaper die de instellingen van de webbrowser van het slachtoffer kan aanpassen om zoekresultaten weer te geven die reclame maken voor junkware, automatische runs uitvoeren op nep-enquêtewebsites, nep-weggeefacties en reclame maken voor spelletjes voor volwassenen en datingwebsites.

De mensen achter deze malware ontvangen financiële voordelen via een affiliate marketingsysteem.

Er bestaat veel malware van dit type, maar ChromeLoader valt op door zijn persistentie, omvang en infectiepad dankzij het agressieve misbruik van PowerShell .

PowerShell-misbruik

Volgens onderzoekers van Red Canary, die de activiteiten van ChromeLoader sinds februari in de gaten houden, gebruiken de beheerders een schadelijk ISO- archiefbestand om slachtoffers te infecteren met malware.

Meestal zijn kwaadaardige ISO-bestanden vermomd als gekraakte software of games, die slachtoffers zelf kunnen downloaden en activeren. Er staan ​​zelfs advertenties op Twitter voor gekraakte Android-games met QR-codes die direct naar pagina's leiden waar je malware kunt downloaden.

Wanneer de gebruiker dubbelklikt op het schadelijke ISO-bestand, wordt het gekoppeld als een virtueel CD-ROM-station. Het bevat uitvoerbare bestanden met de extensie .exe. Wanneer u dit uitvoert, wordt ChromeLoader geactiveerd en wordt een PowerShell-opdracht gedecodeerd. Hiermee kan een cachebestand met externe bronnen worden opgehaald en geladen als een Google Chrome- extensie .

Zodra dit is gebeurd, verwijdert PowerShell de geplande taken die Chrome hebben geïnfecteerd met een extensie die de browser stilletjes kan infiltreren en zoekresultaten kan manipuleren en andere acties kan uitvoeren.

macOS is ook kwetsbaar

De mensen achter ChromeLoader richten zich ook op computers die op macOS draaien. Ze willen zowel Chrome als Safari op macOS manipuleren.

De infectieketen op macOS is vergelijkbaar met die op Windows. Er wordt echter geen gebruikgemaakt van ISO's, maar van DMG-bestanden (Apple Disk Image). Dit is een gangbaarder formaat op het besturingssysteem van Apple.

In plaats van het installatieprogramma uit te voeren, gebruikt de ChromeLoader-variant op macOS het bash-script van het installatieprogramma om de ChromeLoader-extensie te downloaden en uit te pakken in de map "private/var/tmp".

Om zo lang mogelijk aanwezig te blijven, voegt ChromeLoader een voorkeurenbestand ('plist') toe aan de map '/Library/LaunchAgents'. Dit zorgt ervoor dat elke keer dat een gebruiker zich aanmeldt bij een grafische sessie, het ChromeLoader Bash-script continu kan worden uitgevoerd.

Volg deze instructies om extensies te controleren en te verwijderen:

• Controleer en verwijder extensies in Google Chrome, Safari en Firefox

Daarnaast kunt u ook andere browserinstellingen controleren om te zien of er iets ongewoons is. Als u vreemde instellingen aantreft, kunt u het probleem oplossen door de oorspronkelijke modus te herstellen.