Storm-2561 SEO poisoning met valse VPN-installers

Introductie

Microsoft Threat Intelligence heeft een nieuwe Storm-2561-campagne beschreven die op de radar van elk securityteam zou moeten staan. Door misbruik te maken van zoekmachineranglijsten, valse websites met vendor-branding en zelfs geldige code-signingcertificaten, richten de aanvallers zich op gebruikers die op zoek zijn naar vertrouwde enterprise VPN-software en stelen zij referenties voordat veel organisaties beseffen dat er iets mis is gegaan.

Wat is er nieuw

Storm-2561 verspreidt getrojaniseerde VPN-installers via een overtuigende aanvalsketen:

• Gebruikers zoeken naar legitieme VPN-software zoals Pulse Secure- of Fortinet-clients.
• Kwaadaardige, met SEO poisoning gemanipuleerde sites verschijnen in zoekresultaten en imiteren vertrouwde vendor-downloadpagina’s.
• Slachtoffers worden doorgestuurd naar ZIP-bestanden die worden gehost op door aanvallers beheerde GitHub-repositories.
• De ZIP bevat een kwaadaardige MSI-installer en DLL’s die een echte VPN-deployment nabootsen.
• De installer plaatst Pulse.exe en side-loadt kwaadaardige DLL’s, waaronder dwmapi.dll en inspector.dll.
• inspector.dll is geïdentificeerd als een variant van de Hyrax infostealer, die VPN-referenties en configuratiegegevens extraheert.

Microsoft merkte ook op dat de malware was ondertekend met een legitiem certificaat van “Taiyuan Lihua Near Information Technology Co., Ltd.”. Dat certificaat is inmiddels ingetrokken, maar het gebruik van geldige ondertekening verminderde de achterdocht bij gebruikers en kan hebben geholpen om sommige verdedigingsmaatregelen te omzeilen.

Aanvalsgedrag om te kennen

De valse VPN-client toont een realistische aanmeldinterface om referenties rechtstreeks van de gebruiker vast te leggen. Na het indienen:

• Wordt een valse installatie- of aanmeldfout getoond
• Wordt de gebruiker gevraagd de echte VPN-client te downloaden
• Wordt in sommige gevallen de browser geopend naar de legitieme vendorsite

Deze omleiding na compromis is bijzonder effectief omdat gebruikers later mogelijk de echte software met succes installeren en nooit vermoeden dat hun referenties al zijn gestolen.

De campagne zorgt ook voor persistentie via de Windows-registratiesleutel RunOnce en exfiltreert gestolen gegevens naar door aanvallers beheerde infrastructuur.

Impact op IT-beheerders

Voor IT- en securityteams benadrukt deze campagne een groeiend risico: gebruikers hoeven niet langer phishingbijlagen in e-mails te openen om gecompromitteerd te raken. Alleen al zoeken naar bedrijfssoftware kan leiden tot diefstal van referenties.

Organisaties die afhankelijk zijn van remote access zouden zich extra zorgen moeten maken, omdat gestolen VPN-referenties ongeautoriseerde toegang, laterale verplaatsing en vervolg­aanvallen mogelijk kunnen maken. Het gebruik van vervalste softwarebranding en ondertekende malware vergroot ook de kans dat eindgebruikers de installer vertrouwen.

Aanbevolen acties

Beheerders zouden de volgende stappen moeten nemen:

• Zorg ervoor dat cloud-delivered protection van Microsoft Defender Antivirus is ingeschakeld
• Voer EDR uit in block mode waar ondersteund
• Jaag op verdachte VPN-gerelateerde installers, DLL side-loading en RunOnce-persistentie
• Controleer uitgaande verbindingen naar bekende indicatoren en verdachte via GitHub gehoste downloads
• Informeer gebruikers dat zij VPN-software alleen mogen downloaden via goedgekeurde bedrijfsportalen of door de vendor geverifieerde bronnen
• Reset referenties en onderzoek apparaten als gebruikers mislukte VPN-installaties melden gevolgd door een succesvolle herinstallatie

Dit is een krachtige herinnering dat zoekresultaten onderdeel kunnen zijn van het aanvalsoppervlak en dat softwaresignalen van vertrouwen alleen niet langer voldoende zijn.