IRS-auktoriserad skattetjänst e-fil innehåller skadlig länk

IRS-auktoriserad skattetjänst e-fil innehåller skadlig länk

Tidsstämpel: 7 april 2023 5:11

Tyler Cross Tyler Cross
Publicerad på: 7 april 2023 IRS-auktoriserad skattetjänst e-fil innehåller skadlig länk

Även om att anmäla dina skatter online kan hjälpa till att göra hela processen mycket enklare, har en hotaktör använt eFile, en IRS-auktoriserad skattetjänst, för att lura användare att ladda ner skadlig programvara till sina enheter.

Säkerhetsforskare upptäckte att eFile kränktes av hackare, som gömde skadlig kod på webbplatsen. Koden var en lömsk JavaScript-fil betecknad som "popper.js", och laddade upp ett falskt felmeddelande på nästan varje sida på webbplatsen.

Det falska felmeddelandet varnade användarna för att sidan inte kunde nås och gav användarna en länk för att uppdatera sin webbläsare. Denna "uppdatering" innehåller en dold skadlig kod som uppmanar användare att ladda ner en annan fil som heter "update.exe." Denna andra nedladdning är det som innehåller huvuddelen av skadlig programvara.

Det som är unikt med popper.js är att den använder obfuskerad kod för att dölja en anslutning till infoamanewonliag[.]online, som registrerades på VirusTotal den 12 mars och hade sin senaste uppdatering den 17 mars. Det är samma dag som användare på Reddit började skapa inlägg om oro de hade om eFiles plötsliga SSL-felmeddelanden som skulle dyka upp på deras skärmar. IP-adressen för denna anslutning finns också på Alibaba.

Eftersom koden inte upptäcktes förrän den 1 april betyder det att skadlig programvara hade flera veckor på sig att infektera människors enheter. Tillbaka i januari hävdade LockBit ransomware-gänget att de hade hackat eFile. Även om det inte förekom någon attack, kan det förklara hur en grupp noggrant kunde organisera en omfattande men subtil attack på webbplatsen.

Hotaktörer utnyttjade det underförstådda förtroende som användarna hade för en IRS-stödd tjänst och tyvärr finns det inget sätt att bestämma hela omfattningen av situationen, hur många användare som påverkades eller exakt vad hotaktörerna fick. Allmänheten borde veta mer när eFile släpper ett uttalande om situationen.

Tidsstämpel:

Mer från Säkerhetsdetektiver