Hackers vinculados a China utilizan advertencias falsas de certificados de Chrome para infectar a sus víctimas con la puerta trasera Sparrow.

Hackers vinculados a China están convirtiendo sitios web de confianza en puntos de distribución de malware mediante la visualización de advertencias falsas de certificados de Google Chrome.

Las páginas instan a los visitantes a instalar una utilidad de reparación de certificados, pero la descarga instala una puerta trasera que otorga a los atacantes acceso remoto a ordenadores Windows.

La campaña, conocida como SilentDelivery, tiene como objetivo a organizaciones de alto perfil, principalmente en Europa y Asia. Los atacantes comprometieron sitios web relacionados con los sectores gubernamental, marítimo, de TI e investigación, utilizando mensajes de error de navegador comunes para persuadir a los visitantes de que era necesario instalar software para recuperar el acceso.

Los investigadores de Check Point identificaron la puerta trasera SquadC, hasta entonces desconocida, durante su investigación, junto con casos que distribuían una variante de SparrowDoor.

Su informe de investigación del 10 de noviembre vincula SilentDelivery con un ecosistema de malware más amplio asociado a CopperDragon, un posible desarrollador y proveedor que presta servicios a varios grupos de amenazas vinculados a China.

Hackers vinculados a China utilizan advertencias falsas de certificados de Chrome

La infección comienza cuando la víctima abre un sitio web comprometido. El código JavaScript inyectado reemplaza la página con una advertencia falsa de certificado SSL de Chrome, escrita en el idioma del sitio web.

Un botón adicional de “Instalar certificado” ofrece una supuesta solución que descarga un paquete malicioso de Windows Installer. Este método recuerda a campañas anteriores de actualización falsa de Chrome que utilizaban sitios web comprometidos para distribuir malware, pero SilentDelivery presenta la descarga como una reparación de certificado en lugar de una actualización del navegador.

Check Point detectó tres buckets de S3 que, según creía, estaban comprometidos y se utilizaban para alojar cargas útiles de siguiente fase. El código JavaScript utiliza el servicio de ofuscación jsjiami, disponible públicamente, para ocultar su propósito.