Slučaj poznat kao Hola Browser malware još jednom je pokazao koliko ozbiljne posledice mogu imati supply-chain napadi. Za razliku od klasičnih sajber pretnji koje se oslanjaju na phishing poruke, lažne sajtove ili preuzimanje sumnjivih programa, ovakvi napadi ciljaju samu infrastrukturu preko koje se legitimni softver distribuira korisnicima.
Prema navodima koje je objavio BleepingComputer, istraživači su otkrili da je određeni broj Windows korisnika preuzeo verziju Hola Browser-a koja je sadržala skriveni kriptomajner. Zlonamerni kod nije zahtevao dodatnu interakciju korisnika niti je dolazio sa nepoznatih izvora. Distribuiran je zajedno sa legitimnim instalacionim paketom kroz kompromitovani kanal za isporuku softvera.
Iako iz kompanije Hola navode da je pogođen mali procenat korisnika, incident predstavlja ozbiljan bezbednosni propust i podseća da ni poznate aplikacije nisu potpuno zaštićene od kompromitacije.
⚠️ Da li ste možda pogođeni?
Ako ste nedavno instalirali Hola Browser na Windows računaru, obratite pažnju na sledeće znakove koji mogu ukazivati na prisustvo skrivenog kriptomajnera:
- Koristili ste Windows verziju Hola Browser-a tokom perioda kompromitacije
- Procesor je često pod visokim opterećenjem bez očiglednog razloga
- Ventilatori rade glasnije ili češće nego ranije
- Računar se zagreva čak i kada ne koristite zahtevne programe
- Baterija laptopa traje kraće nego obično
Ako ste primetili jedan ili više ovih simptoma, preporučuje se detaljna provera sistema antivirusnim i antimalver alatima.
Kako je otkriven kompromitovani Hola Browser?
Ovaj incident nije otkriven nakon prijava korisnika, već tokom bezbednosne analize koju su sproveli stručnjaci kompanije Sophos u okviru AppEsteem sertifikacionog procesa.
Prilikom pregleda instalacionog paketa primećen je dodatni izvršni fajl nazvan „me.exe“, koji nije bio deo prethodno odobrene verzije aplikacije.
Takva promena odmah je privukla pažnju istraživača. Kod etabliranih aplikacija instalacioni paketi uglavnom prolaze stroge kontrole, a svaka nova komponenta mora imati jasno poreklo i validnu verifikaciju.
Dalja analiza pokazala je da:
- datoteka nije imala validan digitalni potpis
- sadržala je obfuskovani kod
- pokušavala je da prikrije svoje aktivnosti
- pokazivala je ponašanje karakteristično za kriptomajnere
- bila je povezana sa rudarenjem kriptovalute Monero
Nakon prijave nalaza, kompanija Hola pokrenula je internu istragu i potvrdila da je deo distribucionog sistema bio kompromitovan.
Zamislite da instalirate pregledač direktno sa zvaničnog sajta. Sve izgleda normalno, nema upozorenja antivirusnog programa i aplikacija radi bez problema. U pozadini, međutim, vaš procesor može mesecima da rudari kriptovalutu za nekog drugog bez ikakvog vidljivog znaka infekcije.
Aktivnosti kriptomajnera unutar sistema
Jedan od razloga zbog kojih su cryptojacking kampanje uspešne jeste to što korisnici često ne primete da je sistem zaražen.
Za razliku od ransomware napada koji odmah privlače pažnju ili trojanaca koji pokušavaju da ukradu podatke, kriptomajneri uglavnom rade u pozadini i nastoje da ostanu neprimećeni što duže.
Prema dostupnim informacijama, zlonamerni kod pronađen u kompromitovanoj verziji Hola Browser-a mogao je da:
- uspostavi mehanizme za automatsko pokretanje nakon restarta sistema
- kreira izuzetke u Windows Defender zaštiti
- izvršava procese u pozadini bez vidljivog interfejsa
- koristi procesorske resurse za rudarenje kriptovaluta
- aktivira se kada korisnik ne koristi računar
Cilj napadača bio je da maksimalno iskoriste dostupne resurse uređaja bez izazivanja sumnje.
Zašto je Monero čest izbor sajber kriminalaca?
Kada se govori o kriptomajnerima, Monero se gotovo uvek nalazi među najčešće korišćenim kriptovalutama.
Glavni razlog leži u njegovim funkcijama privatnosti.
Dok se Bitcoin transakcije mogu relativno lako pratiti putem javnog blockchain-a, Monero koristi mehanizme koji značajno otežavaju identifikaciju pošiljaoca, primaoca i iznosa transakcije.
Zbog toga se već godinama koristi u brojnim cryptojacking kampanjama.
Napadači mogu da zaraze veliki broj uređaja, koriste njihove resurse za rudarenje i potom teže budu povezani sa ostvarenim profitom.
Šta je supply-chain napad?
Napad na infrastrukturu proizvođača
Supply-chain napadi razlikuju se od većine drugih sajber pretnji po tome što krajnji korisnici nisu primarna meta.
Umesto toga, napadači pokušavaju da kompromituju:
- razvojne sisteme kompanije
- servere za distribuciju softvera
- sisteme za automatska ažuriranja
- digitalne sertifikate
- infrastrukturu za potpisivanje aplikacija
Kada uspešno kompromituju neku od ovih komponenti, zlonamerni kod može biti distribuiran velikom broju korisnika kroz potpuno legitimne kanale.
Zbog toga se supply-chain napadi smatraju jednom od najopasnijih vrsta savremenih sajber pretnji.
Zašto supply-chain napadi predstavljaju veliku pretnju?
Većina korisnika danas zna da treba da izbegava sumnjive email poruke i neproverene web stranice.
Problem nastaje kada se malver distribuira preko zvaničnih kanala kojima korisnici veruju.
U takvim situacijama gotovo da nema razloga za sumnju.
Napadači tako ne moraju da ciljaju pojedince jednog po jednog. Dovoljno je da kompromituju centralni sistem i potencijalno dobiju pristup velikom broju uređaja.
Upravo zbog toga supply-chain napadi poslednjih godina predstavljaju jedan od najefikasnijih načina širenja malvera.
Zašto je ovaj slučaj posebno zabrinjavajući?
Većina bezbednosnih saveta zasniva se na tome da korisnici izbegavaju sumnjive sajtove i programe. U ovom slučaju ni to nije bilo dovoljno. Korisnici su preuzimali softver sa legitimnog izvora i ipak završili sa malverom na sistemu.
To je razlog zbog kojeg stručnjaci supply-chain napade smatraju među najopasnijim oblicima sajber kriminala.
Zašto je incident sa Hola Browser-om posebno ozbiljan?
Prema trenutno dostupnim informacijama, nema potvrde da su tokom ovog incidenta ukradene lozinke, finansijski podaci ili druge osetljive informacije.
Ipak, stručnjaci upozoravaju da svaku kompromitaciju softverske infrastrukture treba shvatiti ozbiljno.
Ako napadači uspeju da distribuiraju jedan tip malvera, teorijski mogu isporučiti i druge vrste zlonamernog softvera.
Zbog toga se korisnicima savetuje da izvrše detaljnu proveru sistema čak i ako nisu primetili simptome infekcije.
Obim kompromitacije i broj pogođenih korisnika?
Prema informacijama koje je objavila kompanija Hola, kompromitacija je pogodila približno 0,1% korisnika.
Na prvi pogled to deluje kao mali procenat, ali treba uzeti u obzir da Hola Browser i povezane usluge koriste milioni ljudi širom sveta.
U takvim okolnostima i mali procenat može značiti hiljade pogođenih uređaja.
Zbog toga bezbednosni stručnjaci ovaj incident smatraju značajnim uprkos relativno ograničenom obimu.
Provera sistema nakon instalacije Hola Browser-a
Korisnici koji su instalirali Hola Browser tokom perioda kompromitacije trebalo bi da obrate pažnju na nekoliko potencijalnih znakova infekcije.
Neuobičajeno visoka potrošnja procesora
Ako je opterećenje procesora konstantno visoko čak i kada nema aktivnih aplikacija, moguće je da se u pozadini izvršava kriptomajner.
Pojačano zagrevanje računara
Kontinuirano korišćenje procesora često dovodi do povećanja temperature sistema.
Veća potrošnja električne energije
Desktop računari mogu trošiti više energije nego inače, dok korisnici laptop uređaja mogu primetiti kraće trajanje baterije.
Konstantan rad ventilatora
Ventilatori koji rade velikom brzinom tokom dužeg perioda često ukazuju na procese koji intenzivno koriste hardverske resurse.
Mere koje je preduzela kompanija Hola
Nakon prijave incidenta, kompanija je angažovala stručnjake za digitalnu forenziku kako bi utvrdila obim kompromitacije i način na koji je izvedena.
Prema njihovim navodima, sprovedene su dodatne bezbednosne mere koje uključuju:
- obnovu distribucionog sistema
- dodatnu kontrolu pristupa serverima
- unapređeno praćenje infrastrukture
- strože procedure verifikacije softverskih paketa
- dodatne bezbednosne provere tokom objavljivanja novih verzija
Istraga o uzroku kompromitacije i dalje traje.
Šire posledice za budućnost sajber bezbednosti
Slučaj Hola Browser malware dolazi u periodu kada broj supply-chain napada nastavlja da raste.
Napadači sve češće ciljaju kompanije koje razvijaju popularan softver umesto pojedinačnih korisnika.
Razlog je jednostavan. Kompromitacija jednog distributivnog sistema može otvoriti put ka velikom broju računara širom sveta.
Zbog toga stručnjaci sve više naglašavaju značaj provere integriteta softvera, strožeg upravljanja pristupima i kontinuiranog nadzora kritične infrastrukture.
Rast broja supply-chain napada poslednjih godina
Supply-chain napadi poslednjih godina postaju sve češći. Napadi na kompanije poput SolarWinds-a, 3CX-a i sada Hola Browser-a pokazuju da kompromitacija jednog dobavljača može uticati na hiljade ili čak milione korisnika.
Hola Browser malware – ključne činjenice
- Tip pretnje: Cryptojacking
- Meta: Windows korisnici
- Kriptovaluta: Monero
- Metod distribucije: Supply-chain napad
- Otkrio: Sophos tokom AppEsteem provere
- Procena pogođenih korisnika: oko 0,1%
ZAKLJUČAK
Slučaj Hola Browser malware pokazuje koliko se pejzaž sajber pretnji promenio. Nekada je bilo dovoljno izbegavati sumnjive linkove i piratski softver. Danas se malver može pojaviti i kroz potpuno legitimne aplikacije. Upravo zato provera integriteta softvera, praćenje bezbednosnih obaveštenja i redovna zaštita sistema postaju važniji nego ikada.
