Az IRS által engedélyezett adószolgálati eFile rosszindulatú hivatkozást tartalmaz

Az IRS által engedélyezett adószolgálati eFile rosszindulatú hivatkozást tartalmaz

Időbélyeg: 7. április 2023. 5:11

Tyler Cross Tyler Cross
Kiadja: April 7, 2023 Az IRS által engedélyezett adószolgálati eFile rosszindulatú hivatkozást tartalmaz

Míg az online adóbevallás nagyban megkönnyítheti az egész folyamatot, egy fenyegetőző az eFile-t, az IRS által engedélyezett adószolgáltatást használja, hogy rávegye a felhasználókat, hogy rosszindulatú programokat töltsenek le eszközeikre.

A biztonsági kutatók felfedezték, hogy az eFile-t hackerek törték fel, és rosszindulatú kódot rejtettek el a webhelyen. A kód egy alattomos JavaScript-fájl volt, amelyet „popper.js”-ként jelöltek meg, és hamis hibaüzenetet töltött be a webhely szinte minden oldalán.

A hamis hibaüzenet figyelmeztette a felhasználókat, hogy az oldal nem érhető el, és egy linket adott a felhasználóknak a böngésző frissítéséhez. Ez a „frissítés” egy rejtett rosszindulatú kódot tartalmaz, amely egy másik „update.exe” nevű fájl letöltésére kéri a felhasználókat. Ez a második letöltés tartalmazza a rosszindulatú program nagy részét.

A popper.js egyedisége az, hogy obfuszkált kódot használ az infoamanewonliag[.]online-hoz való kapcsolódás elrejtésére, amelyet március 12-én regisztráltak a VirusTotalon, és március 17-én kapták meg az utolsó frissítést. Ugyanezen a napon kezdték el a Reddit felhasználói bejegyzéseket, amelyek az eFile képernyőjükön megjelenő hirtelen SSL-hibaüzenetei miatti aggályaikkal foglalkoznak. Ennek a kapcsolatnak az IP-címét is az Alibaba tárolja.

Mivel a kódot csak április 1-jén észlelték, ez azt jelenti, hogy a kártevőnek több hete volt, hogy megfertőzze az emberek eszközeit. Még januárban a LockBit ransomware banda azt állította, hogy feltörte az eFile-t. Bár látszólag nem történt támadás, ez magyarázatot adhat arra, hogy egy csoport hogyan tudott gondosan megszervezni egy kiterjedt, de finom támadást a webhely ellen.

A fenyegető szereplők kihasználták a felhasználók implicit bizalmát az IRS által támogatott szolgáltatásban, és sajnos nem lehet meghatározni a helyzet teljes körét, azt, hogy hány felhasználót érintett, vagy hogy pontosan mit szereztek a fenyegető szereplők. A nyilvánosságnak többet kell tudnia, ha az eFile közleményt ad ki a helyzetről.

Időbélyeg:

Még több Biztonsági nyomozók