Storm-2561 lance une campagne de faux VPN
Un acteur malveillant désigné Storm-2561 a lancé une campagne sophistiquée distribuant de faux clients VPN qui imitent des logiciels légitimes d'Ivanti, Cisco et Fortinet. Le groupe utilise des techniques de référencement empoisonné pour manipuler les classements des moteurs de recherche, poussant les sites de téléchargement malveillants en tête des résultats de recherche lorsque les utilisateurs recherchent des logiciels VPN d'entreprise.
Les faux installateurs imitent de près les clients VPN authentiques mais contiennent des logiciels malveillants de collecte d'identifiants conçus pour voler les informations de connexion des utilisateurs d'entreprise. Les chercheurs en sécurité ont documenté les détails techniques et les méthodes de distribution de la campagne.
Utilisateurs de VPN d'entreprise en danger
La campagne cible spécifiquement les organisations utilisant des solutions VPN d'entreprise de trois grands fournisseurs. Les entreprises qui dépendent d'Ivanti Connect Secure, Cisco AnyConnect et Fortinet FortiClient courent le plus grand risque si les employés téléchargent des logiciels à partir de résultats de recherche compromis.
Les administrateurs informatiques et les utilisateurs finaux recherchant des téléchargements de clients VPN via les moteurs de recherche sont les principales cibles. L'acteur malveillant exploite la pratique courante de télécharger des logiciels d'entreprise via des recherches sur le web plutôt que par les portails officiels des fournisseurs.
Le référencement empoisonné livre des téléchargements malveillants
Storm-2561 utilise des techniques de référencement black hat pour améliorer le classement des sites web malveillants pour les mots-clés liés aux VPN. Lorsque les utilisateurs recherchent des clients VPN légitimes, les résultats empoisonnés apparaissent en bonne place, conduisant les victimes à télécharger des installateurs trojanisés.
Les faux clients VPN fonctionnent partiellement pour éviter une détection immédiate tout en transmettant secrètement les identifiants volés à une infrastructure contrôlée par les attaquants. Les organisations devraient vérifier que tous les téléchargements de logiciels VPN proviennent directement des sites web officiels des fournisseurs et mettre en œuvre une liste blanche d'applications pour empêcher les installations non autorisées de clients VPN.
