Boston maraton bombekoblinger kan skjule java-baserte utnyttelser

Mine sosiale mediekontoer og e-postboksen er full av lenker til historier om den forferdelige hendelsen i Boston tidligere denne uken. Jeg leser om ofrene, de tilstedeværende og de første som responderte som hastet for å hjelpe, og lette etter oppdateringer om etterforskningen.

Det viser seg at jeg burde være forsiktig med hvilke koblinger jeg klikker på, da cyberkriminelle allerede har begynt å utnytte tragedien til sine egne skumle formål, sa sikkerhetseksperter til SecurityWatch.

"Ingenting er faux pas for cyber-kriminelle når det gjelder å spre skadelig programvare, " sier Troy Gill, senior sikkerhetsanalytiker i AppRiver.

Spammere er modige

Mindre enn 24 timer etter angrepet var spammere i aksjon, ifølge forskere fra antivirusantrekket Avira og e-postsikkerhetsleverandøren AppRiver. Emnelinjene for disse meldingene inkluderer "Eksplosjon ved Boston Marathon" og "Bostoneksplosjon fanget på video", ifølge Avira. AppRiver markerte andre emnelinjer som "Runner Captures" og varianter som "Marathon Explosions" og "2 Explosions at Boston Marathon." AppRiver mener et botnet står bak spam-kampanjen ettersom meldingene stammer fra forskjellige maskiner rundt om i verden.

"Denne sosialtekniske teknikken er ikke ny. Vi ser dette hver gang det skjer noe i verden (krig, naturkatastrofe, sosiale begivenheter) som potensielt er interessant for mange mennesker, " sa Sorin Mustaca, IT-sikkerhetsekspert ved Avira.

E-postene inneholder bare lenken, en IP-adresse etterfulgt av index.html. Ved å klikke på koblingen omdirigerer offeret til tre andre nettsteder mens du prøver å laste ned en ondsinnet Java-fil fra et tilfeldig generert nettsted til datamaskinen. Hvis brukeren ikke kjører en fullstendig lappet versjon av Java og har Java aktivert i nettleseren, lastes filen ned og kjøres. Mens skadelig programvare blir lastet ned, vil brukeren kunne se et videoklipp på siden, sa forskerne.

Noen av websidene som inneholder den egentlige ondsinnede nyttelasten ser ut til allerede å ha blitt tatt ned, sa Gill. Malware selv ser ut til å være en trojansk hest som er i stand til å installere en bakdør til den infiserte maskinen, og gi angripere fjern tilgang for fremtidige angrep.

E-post er ikke den eneste angrepsvektoren, ettersom Avira også fant innlegg på Facebook med lenker til forskjellige nettsteder som ser ut til å være skadelige.

Pass på hva du klikker

For å være ærlig, burde jeg ikke blitt overrasket. Kriminelle og svindlere elsker tragedier fordi folk søker etter oppdateringer og informasjon og sannsynligvis vil klikke på lenker. På en vanlig dag ville sannsynligvis ikke en nyhetsrapport fra byen Troys Patch.com-side krysset radaren min, men i dag gjorde den det. Mens instinktet mitt er å klikke for å få mer innsikt, punditry og historier, er nå også en tid jeg må være forsiktig så jeg ikke havner på et ondsinnet nettsted. Hold deg til en liste over kilder du vanligvis bruker, og fremfor alt, ikke klikk på forkortede lenker på sosiale medier. Bedre trygg enn beklager.

"Når som helst det er stor oppmerksomhet rundt en enkelt hendelse i media og allmenn interesse. Du vil se parasittiske nettkriminelle komme ut av treverket og prøve å utnytte arrangementet, " sa Gill.

Selv om denne runden med spam er enkel å identifisere, siden URL-adressen ikke bruker et domenenavn, men en IP-adresse, er det sannsynlig at lignende kampanjer, så brukerne må være på vakt.

"Mens de fleste nå vet ikke å klikke på lenker i uoppfordrede e-postmeldinger, blir menneskelige følelser fremdeles bedre av oss til tider, og disse typer angrep roper det menneskelige elementet, " advarte Gill.

Og hvis du fremdeles ikke har oppdatert Java, er det virkelig et godt tidspunkt å gjøre det, spesielt siden Oracle slapp en ny oppdatering i går. Hvis du ikke bruker Java regelmessig, kan du bare deaktivere pluginen i nettleseren.