Cyberbeveiligingsonderzoekers hebben een kwaadaardige campagne ontdekt waarbij hackers nepwebsites van Adobe Acrobat en diensten voor het ondertekenen van documenten gebruiken om gebruikers te misleiden. Zo proberen ze mensen software te laten installeren waarmee aanvallers op afstand toegang kunnen krijgen tot hun computers.
Volgens onderzoekers van CloudSEK bootsen de nepwebsites legitieme diensten voor het delen van documenten na. Ze tonen meldingen zoals ‘Formulier bekijken en ondertekenen‘ of ‘Log in om het document te bekijken‘. Wanneer gebruikers deze websites bezoeken, kunnen ze ongemerkt ConnectWise ScreenConnect downloaden, een legitiem programma voor toegang op afstand dat vaak door IT-helpdesks wordt gebruikt.
De software is echter zo ingesteld dat deze verbinding maakt met systemen die door de aanvallers worden beheerd. Na installatie kunnen hackers hiermee mogelijk een geïnfecteerde Windows-computer op afstand besturen, toegang krijgen tot gevoelige informatie, bestanden stelen of aanvullende malware installeren.
De campagne is vooral zorgwekkend omdat de aanvallers echte, digitaal ondertekende software gebruiken in plaats van traditionele malware. Hierdoor is de dreiging moeilijker te herkennen, omdat het gedownloade programma voor zowel gebruikers als beveiligingssystemen betrouwbaar kan lijken.
Onderzoekers ontdekten ook dat de nepwebsites informatie over bezoekers verzamelen, waaronder IP-adressen, locaties en browsergegevens. De aanvallers lijken zich specifiek op Windows-gebruikers te richten.
CloudSEK heeft niet bevestigd hoeveel apparaten eventueel zijn gehackt. Ook is nog niet bekend wie verantwoordelijk is voor de campagne.
De onderzoekers waarschuwen gebruikers om voorzichtig te zijn met onbekende links naar gedeelde documenten, vooral wanneer ze onverwacht worden gevraagd software te downloaden om een document te bekijken of te ondertekenen.
Nepapps, nepdiensten en vervalste software worden vaak door hackers gebruikt. Eerder berichtten we al over hackers die malware verspreidden via neppe streamingadvertenties op Facebook, vervalste Claude Opus-apps en de Early Access-sectie van Google Play.
