Niebezpiecznik

Fałszywy instalator menedżera haseł Keepass był (a może ciągle jest?) rozprowadzany poprzez złośliwe reklamy pojawiające się w Google. To dobry moment by przypomnieć, że trzeba trochę uważać nawet przy wdrażaniu dobrych praktyk bezpieczeństwa.

Menedżery haseł to jedno z podstawowych narzędzi zabezpieczających, a program Keepass należy do jednego z bardziej rozpoznawalnych menedżerów. Niestety firma Malwarebytes wczoraj zauważyła, że po wpisaniu do Google frazy “keepass” można było zobaczyć taką oto reklamę.

Reklama *rzekomo* Keepassa

Reklama – powiedzmy to od razu – służy złośliwemu przekierowaniu. Wygląda jednak przekonująco. Na górze widzimy prawdziwy adres oficjalnej strony menedżera haseł (keepass.info). Logo się zgadza. Wszystko wyświetla się  dokładnie nad pierwszym wynikiem, który naprawdę prowadzi na stronę Keepassa. To nie koniec przekonujących sztuczek.

Sprawcy tego ataku ustanowili tymczasową domenę, która wykonywała warunkowe przekierowania na stronę ostatecznie służącą do ataku (m.in. na adres xn--eepass-vbb[.]info). Ta atakująca strona wykorzystywała punycode, czyli sposób kodowania znaków Unicode za pomocą liter, cyfr i myślników. Jak to działa? Jeśli w pasku adresu przeglądarki wpiszecie xn--niebezpiecznikwka-tyb.pl, po kliknięciu “enter” zobaczycie adres “niebezpiecznikówka.pl” (na tej domenie nie ma żadnej strony, ale i tak zobaczycie ten adres). Znak “ó” został odpowiednio zakodowany.

Adres xn--eepass-vbb[.]info sprawiał, że przekierowani użytkownicy widzieli w pasku przeglądarki adres ķeepass.info. Czy zauważyliście mały “ogonek” pod literą “k”?

Fałszywa strona KeePassa

Przyjrzyjcie się uważnie…

Strona fałszywa wyglądała nieco inaczej niż oryginalna strona Keepassa, ale można było się nabrać. Jeśli ktoś pobrał rzekomy instalator menedżera haseł to oczywiście zrobił sobie krzywdę. Instalator zawierał złośliwy kod z rodzimy FakeBat (już wcześniej rozprowadzany za pośrednictwem fałszywych reklam, czyli tzw. malvertisingu). Po uruchomieniu instalatora może nastąpić pobranie na komputer kodu, który będzie służył przeprowadzaniu rekonesansu na komputerze ofiary.

Warto zauważyć, że oszukańcza strona ma “kłódeczkę”. Gdyby komuś chciało się czytać certyfikat to można zauważyć, że coś jest nie tak (wystawiony dla xn--eepass-vbb[.]info a nie dla keepass.info). Oczywiście wiemy, że nie można liczyć na sprawdzanie certyfikatu przez każdego użytkownika.

Fałszywa strona i informacje o certyfikacie

Incydent został zgłoszony do Google. Centrum przejrzystości reklam Google wskazuje, że reklamę wykupił zweryfikowany podmiot, który posiada wiele innych kampanii. Wygląda na to, że te złośliwe reklamy nie były kierowane do osób z terytorium polski, ale atak i tak był godny opisania u nas. Z kilku powodów.

Same stare numery

Legendarny iluzjonista i eskapolog Harry Houdini zwykł mawiać, że “stary numer dobrze wykonany jest lepszy niż nowy numer“. Przynajmniej internet przypisuje Houdiniemu ten cytat :)

Harry Houdini

W opisanej kampanii mamy mnóstwo starych numerów. Przekierowywanie ludzi na strony phishingowe lub zawierające złośliwe oprogramowanie przy pomocy reklam publikowanych w Google widzieliśmy już wiele lat teamu. Bardzo ciekawy był przykład z 2017 roku, kiedy to atakowani byli klienci jednego z polskich banków. Starym numerem jest również używanie Punycode.

Atak z KeePassem jest o tyle podstępny, że celuje w osoby gotowe na pobranie menedżera haseł a więc takie, które są gotowe zrobić coś więcej dla swojego bezpieczeństwa. Takie osoby mogą być bardziej uważne, ale… bywa też, że są mniej uważne ze względu na przekonanie o swojej wyższej świadomości. Coraz częściej obserwujemy ataki skierowane na osoby “bardziej techniczne”. Przykładem niech będą fałszywe biblioteki Pythona albo fałszywe konta na Githubie.

Czy mimo wszystko używać menedżera haseł?

TAK!!!! Używajcie menedżerów haseł.

Powtórzymy coś, o czym pisaliśmy w grudniu ubiegłego roku przy okazji poważnego problemu z menedżerem LastPass. Menedżerów haseł należy używać ponieważ rozwiązują one problemy z zarządzaniem hasłami. Zapewniają możliwość posiadania mocnych, długich haseł unikalnych dla każdego konta. Brak tzw. higieny haseł prowadzi do stosowania prostych albo powtarzalnych danych uwierzytelniających co szybko może się zemścić na ich użytkowniku.

Całkiem niedawno firma Outpost24 informowała, że  nawet wśród osób technicznych wciąż bardzo powszechne jest stosowanie haseł takich jak “admin”, “admin1” lub “admin123”. Łatwo jest powiedzieć, że “nie powinno się mieć takich haseł”, ale nie możemy liczyć na używanie mocnych haseł jeśli nie damy ludziom narzędzia do zarządzania nimi. Menedżer rozwiązuje ten problem… i tylko ten.

Co robić? Jak żyć?

Warto używać menedżerów haseł, ale trzeba jednocześnie pamiętać o innych podstawach bezpieczeństwa.

1. Na szczycie wyników wyszukiwania mogą się pojawiać reklamy, które poprowadzą do “złośliwych” stron. Z tego powodu upewniajmy się, że klikamy w wyniki wyszukiwania, a nie w reklamę. Tam gdzie to tylko możliwe wprowadźmy adresy ręcznie lub używajmy zakładek w przeglądarce. Jeśli chodzi o strony logowania to zawsze powinniśmy przechodzić na nie z zakładek w przeglądarce.
2. Problem pobierania złośliwego oprogramowania nie jest tym samym co problem zarządzania hasłami. Menedżer rozwiązuje tylko ten drugi problem. Aktualizujcie swoje systemy regularnie i stosujcie oprogramowanie antywirusowe. Zachowajcie szczególną ostrożność w momencie pobierania i instalacji każdego oprogramowania.

Jeśli zastanawiacie się, czy oprogramowanie blokujące reklamy może podnieść wasz poziom bezpieczeństwa to odpiszemy krótko. Tak. Wiemy, że wydawcy internetowi za tym nie przepadają.