Le fichier électronique du service fiscal autorisé par l'IRS contient un lien malveillant

Le fichier électronique du service fiscal autorisé par l'IRS contient un lien malveillant

Horodatage: 7 avril 2023 5:11

Croix de Tyler Croix de Tyler
Publié le: 7 avril 2023 Le fichier électronique du service fiscal autorisé par l'IRS contient un lien malveillant

Bien que le dépôt de vos impôts en ligne puisse faciliter considérablement l'ensemble du processus, un acteur malveillant utilise eFile, un service fiscal autorisé par l'IRS, pour inciter les utilisateurs à télécharger des logiciels malveillants sur leurs appareils.

Les chercheurs en sécurité ont découvert que eFile avait été piraté par des pirates, qui ont caché du code malveillant dans le site Web. Le code était un fichier JavaScript insidieux appelé "popper.js" et chargeait un faux message d'erreur sur presque toutes les pages du site Web.

Le faux message d'erreur a averti les utilisateurs que la page était inaccessible et leur a fourni un lien pour mettre à jour leur navigateur. Cette « mise à jour » contient un code malveillant caché qui invite les utilisateurs à télécharger un autre fichier appelé « update.exe ». Ce deuxième téléchargement est ce qui contient la majeure partie du malware.

Ce qui est unique à propos de popper.js, c'est qu'il utilise du code obscurci pour masquer une connexion à infoamanewonliag[.]online, qui a été enregistré sur VirusTotal le 12 mars et a eu sa dernière mise à jour le 17 mars. C'est le même jour que les utilisateurs de Reddit ont commencé à faire messages répondant aux préoccupations qu'ils avaient au sujet des messages d'erreur SSL soudains d'eFile qui apparaissaient sur leurs écrans. L'adresse IP de cette connexion est également hébergée sur Alibaba.

Étant donné que le code n'a été détecté que le 1er avril, cela signifie que le logiciel malveillant a eu plusieurs semaines pour infecter les appareils des utilisateurs. En janvier, le gang de rançongiciels LockBit a affirmé avoir piraté eFile. Bien qu'il n'y ait apparemment pas eu d'attaque, cela peut expliquer comment un groupe a pu organiser avec soin une attaque étendue mais subtile sur le site Web.

Les acteurs de la menace ont profité de la confiance implicite des utilisateurs dans un service soutenu par l'IRS et, malheureusement, il n'y a aucun moyen de déterminer l'étendue de la situation, le nombre d'utilisateurs touchés ou exactement ce que les acteurs de la menace ont obtenu. Le public devrait en savoir plus une fois que eFile aura publié une déclaration sur la situation.

Horodatage:

Plus de Détectives de sécurité