Започва масовото разпространение на вируса Ghostpulse – той се маскира като инсталационен файл на приложение

В интернет започна разпространението на компютърния вирус Ghostpulse, заразявайки системите, работещи под Windows. Той се маскира като MSIX инсталационни файлове на добре познати програми. Експертите на Elastic Security Labs съобщиха за мащабната кампания.

„MSIX е формат на пакет за Windows-приложенията, който разработчиците могат да използват, за да опаковат и разпространяват своите приложения сред потребителите на Windows“ — обясниха от Elastic Security Labs. Софтуерът в този формат е много лесен за инсталиране, често само с двойно щракване, което прави MSIX подходящ инструмент за киберпрестъпниците. Но за да реализират плановете си, хакерите трябва да купят или откраднат сертификати за подписване на кода, което показва, че те вероятно разполагат със сериозни ресурси.

Използвайки хакнати сайтове, техники за оптимизация на търсачки (SEO) и онлайн-реклама, нападателите се опитват да подмамят хората да изтеглят злонамерените MSIX пакети и да стартират тяхната инсталация. Пакетите са маскирани като инсталационни файлове на браузърите Chrome, Brave и Edge, платформата за обучение по английски език Grammarly, клиентът за видеоконференции Cisco Webex и други програми.

Процесът на инсталиране изглежда нормален: на екрана не се показват изскачащи прозорци или предупреждения, но във фонов режим се изпълнява PowerShell скрипт, чрез който Ghostpulse се изтегля на компютъра, след което се разгъва и внедрява. Elastic Security Labs са подготвили своя инструмент за откриване на вируси. Мотивите на нападателите все още не се уточняват, но е известно, че тези условия улесняват отдалечения достъп и възможността за изпълнение на произволен код и кражба на данни.