A népszerű AI-eszközök, mint a ChatGPT és a Claude nevével visszaélő csalók hamis asztali alkalmazásokkal fertőzik meg a felhasználók számítógépeit. A támadók a keresőmotorok találati listáját manipulálva olyan csomagokkal terjesztik a kártevőket, amelyekben az eredeti, digitálisan aláírt telepítőfájlok mellé rosszindulatú kódokat rejtenek.
- A csalók GitHub-tárolókat és megtévesztő weboldalakat használnak, amelyek a Google találati listájának elején jelennek meg.
- A kártevők úgynevezett DLL sideloading technikát alkalmaznak: a Windows a digitálisan aláírt, eredeti telepítőfájl miatt megbízhatónak ítéli a csomagot, miközben a mellette lévő rosszindulatú DLL-fájl észrevétlenül aktiválódik.
- A fertőzés után a kártevő rendszergazdai jogosultságot kér, majd egy Windows Media Playernek álcázott ütemezett feladatot hoz létre, hogy minden újraindítás után rendszerjogosultsággal fusson.
- A támadók a kártevő utasításait Telegram-csatornán és a Google-on keresztül végzett titkosított DNS-lekérdezésekkel továbbítják, így nincs szükségük saját szerverekre.
- A megfigyelt kártevő elsődleges célja kriptovaluta-bányászat volt, de a betöltő képes jelszólopó vagy távoli elérést biztosító trójai programok terjesztésére is.
- A szoftver automatikusan felismeri a billentyűzetkiosztást, és Ukrajna kivételével elkerüli az orosz, illetve más FÁK-országokhoz tartozó rendszereket.
- A biztonság érdekében kizárólag a fejlesztők hivatalos letöltési oldalairól vagy a Microsoft Store-ból tölts le alkalmazásokat.
- Ha már elindítottál egy ilyen gyanús telepítőt, azonnal válaszd le a gépet a hálózatról, keresd meg a ProgramData mappában a WMProcess könyvtárat, és futtass teljes kártevőellenőrzést.
