Tweet

0

Phishers misbruiken Paypal en Trend Micro als lokaas

Malware-downloads via lek in ActiveX

Internetcriminelen gebruiken beveiligingstools van Trend Micro als aas om internetters in de val te lokken en malware op hun pc's te installeren. Ook is een blog van Paypal nagemaakt. De aanvallers misbruiken onder meer een recent ontdekt lek in Active X voor Microsofts Snapshot Viewer.

In valse e-mailberichten worden de iClean-tool en de add-on Threat Protection (WTP) van Trend Micro ter download aangeboden. De inhoud van de mails over WTP lijkt te zijn gekopieerd van de Taiwanese site van Trend Micro, om ze betrouwbaar over te laten komen. Er wordt een link aangeboden die leidt naar een zogenaamde gratis download van de tool. De gebruiker die daarop klikt, komt terecht op een imitatie van de echte WTP-downloadpagina.

ActiveX-kwetsbaarheid
De aanvallers misbruiken een onlangs ontdekte kwetsbaarheid in een ActiveX-onderdeel dat bij de Snapshot Viewer van Microsoft wordt geleverd. Indien succesvol, dan kan van op afstand willekeurige code worden uitgevoerd, om uiteindelijk malware op de pc van het slachtoffer te downloaden.

De nagemaakte WTP-downloadpagina heeft een URL beginnend met hxxp en eindigend op update-windows-microsoft.com/products/enterprise/wtp2.htm. Dit domein wordt door phishers ook gebruikt voor nagemaakte Taiwanese sites van Yahoo Mail, Gmail en Hotmail. 

iClean
Eerder deze maand ontdekte Trend Micro dat Chinese hackers in e-mails adverteren met zijn iClean-tool (zie beeld onder). De mails bevatten een bijlage genaamd iClean20.EXE. Dat is eigenlijk malware die twee bestanden dropt: de echte iClean-tool (om slachtoffers te misleiden) en de backdoormalware BKDR_POISON.GO. Die opent een willekeurige poort en staat uitvoering van commando's op afstand toe.

 

Paypal
Trend Micro waarschuwt ook voor een namaakvariant van The Paypal Blog; het forum voor werknemers en klanten van Paypal. Een artikel dat zogenaamd afkomstig is van Paypal schermt met 'free stuff' voor de eerste honderd klanten die intekenen op de valse inlogpagina. Het doel is bekend: gebruikernamen en wachtwoorden van Paypal-klanten achterhalen.

Om overtuigend over te komen, schotelt de nepblog bezoekers die meer informatie willen een legitiem artikel van Paypal voor. De phishers gebruiken daarnaast de foto en identiteit van een echte werknemer van Paypal en kozen een betrouwbaar ogende URL: Thepaypalblog.com.

bron: ZDNet