Ερευνητές ασφαλείας της Kaspersky αποκάλυψαν πως κυβερνοεγκληματίες χρησιμοποίησαν τεχνολογία geofencing, παραβιασμένους επαγγελματικούς λογαριασμούς και συντονισμένα δίκτυα bot για τη διανομή κακόβουλου λογισμικού μεταμφιεσμένου σε λογισμικό DeepSeek, συγκεντρώνοντας πάνω από 1,2 εκατομμύρια προβολές στο X.
Οι ομάδες Έρευνας Απειλών και Τεχνολογίας AI της Kaspersky εντόπισαν από κοινού μια εξελιγμένη εκστρατεία εξαπάτησης που εκμεταλλεύεται τη ραγδαία ανάπτυξη και το ενδιαφέρον του κοινού γύρω από το DeepSeek AI-ένα δημοφιλές AI chatbot-για τη διανομή κακόβουλου λογισμικού μέσω απατηλών ιστότοπων.
Στην έρευνά τους, οι ειδικοί της Kaspersky αποκάλυψαν ότι οι κυβερνοεγκληματίες δημιούργησαν παραπλανητικά αντίγραφα του επίσημου ιστότοπου του DeepSeek, χρησιμοποιώντας ονόματα domain όπως «deepseek-pc-ai[.]com» και «deepseek-ai-soft[.]com». Χαρακτηριστικό αυτής της εκστρατείας ήταν η χρήση τεχνολογίας geofencing, όπου, με βάση τη διεύθυνση IP και τη γεωγραφική τοποθεσία κάθε επισκέπτη, οι κακόβουλοι ιστότοποι αλλάζουν δυναμικά την παρουσίαση του περιεχομένου, επιτρέποντας στους επιτιθέμενους να προσαρμόσουν την προσέγγισή τους και να μειώσουν τον κίνδυνο ανίχνευσης.
«Η εκστρατεία αυτή εμφανίζει αξιοσημείωτη πολυπλοκότητα που υπερβαίνει τις συνήθεις επιθέσεις κοινωνικής μηχανικής», εξηγεί ο Vasily Kolesnikov, ανώτερος αναλυτής κακόβουλου λογισμικού στην Kaspersky Threat Research. «Οι επιτιθέμενοι εκμεταλλεύτηκαν τον ενθουσιασμό γύρω από την τεχνολογία generative AI, συνδυάζοντας επιδέξια στοχευμένο geofencing, παραβιασμένους επαγγελματικούς λογαριασμούς και συντονισμένη ενίσχυση μέσω bot, ώστε να προσεγγίσουν ένα ευρύ κοινό, αποφεύγοντας παράλληλα προσεκτικά τις άμυνες της κυβερνοασφάλειας».
Σύμφωνα με την ανάλυση της Kaspersky, το κύριο μέσο εξάπλωσης της εκστρατείας ήταν η πλατφόρμα κοινωνικής δικτύωσης X. Δρώντας στρατηγικά, οι επιτιθέμενοι παραβίασαν τον λογαριασμό μιας νόμιμης αυστραλιανής εταιρείας στα μέσα κοινωνικής δικτύωσης, προκειμένου να διαδώσουν κακόβουλους συνδέσμους. Η μοναδική αυτή κακόβουλη ανάρτηση κέρδισε την προσοχή, με 1,2 εκατομμύρια προβολές και εκατοντάδες αναδημοσιεύσεις. Οι ερευνητές διαπίστωσαν ότι οι περισσότερες από αυτές προέρχονταν από λογαριασμούς bot που λειτουργούσαν συντονισμένα-κάτι που ήταν εμφανές λόγω των παρόμοιων ονομάτων και χαρακτηριστικών των προφίλ που υποδήλωναν την σκόπιμη ενίσχυση του κακόβουλου περιεχομένου.
Οι επισκέπτες που παρασύρονταν στους απατηλούς ιστότοπους καθοδηγούνταν στη λήψη μιας ψεύτικης εφαρμογής του DeepSeek. Αντί για το αυθεντικό λογισμικό, αυτοί οι ιστότοποι προωθούσαν κακόβουλα προγράμματα εγκατάστασης μέσω της πλατφόρμας Inno Setup. Μόλις εκτελούνταν, τα προγράμματα εγκατάστασης επικοινωνούσαν με απομακρυσμένους διακομιστές εντολών και ελέγχου (C2) για να ανακτήσουν PowerShell scripts κωδικοποιημένα σε Base64. Στη συνέχεια, αυτά τα scripts ενεργοποιούσαν την ενσωματωμένη υπηρεσία SSH των Windows, την αναδιαμόρφωναν με κλειδιά ελεγχόμενα από τους επιτιθέμενους και επέτρεπαν την πλήρη, μη εξουσιοδοτημένη, απομακρυσμένη πρόσβαση στα παραβιασμένα συστήματα.
Όλα τα κακόβουλα αρχεία που σχετίζονται με την εκστρατεία αυτή εντοπίζονται προληπτικά και αποκλείονται από τα προϊόντα ασφαλείας της Kaspersky, όπως οι παραλλαγές Trojan-Downloader.Win32.TookPS.*.
Για να παραμείνετε ασφαλείς, η Kaspersky συστήνει τα εξής:
- Ελέγχετε προσεκτικά τις διευθύνσεις URL. Οι απατηλοί ιστότοποι που σχετίζονται με AI χρησιμοποιούν συχνά ονόματα domain που μοιάζουν πολύ με νόμιμες υπηρεσίες, αλλά περιέχουν μικρές διαφορές. Πριν κατεβάσετε οποιοδήποτε λογισμικό AI, βεβαιωθείτε ότι η διεύθυνση URL ταιριάζει ακριβώς με το επίσημο domain, χωρίς επιπλέον λέξεις, παύλες ή παραλλαγές στην ορθογραφία.
- Χρησιμοποιήστε ολοκληρωμένη προστασία ασφαλείας. Εγκαταστήστε μια ισχυρή λύση ασφαλείας, όπως το Kaspersky Premium, σε όλες τις συσκευές σας για να ανιχνεύει και να αποκλείει κακόβουλα προγράμματα εγκατάστασης και ιστότοπους πριν θέσουν σε κίνδυνο το σύστημά σας.
- Διατηρείτε όλο το λογισμικό ενημερωμένο. Πολλά τρωτά σημεία που εκμεταλλεύονται τα κακόβουλα λογισμικά μπορούν να αντιμετωπιστούν με την εγκατάσταση των πιο πρόσφατων εκδόσεων του λειτουργικού σας συστήματος και των εφαρμογών σας, ειδικά του λογισμικού ασφαλείας.
Διαβάστε περισσότερα στο Securelist.com.
