Använder du 1Password, LastPass och/eller Bitwarden så bör du se upp. Just nu drivs en nätfiskeattack som riktar sig mot användare av de här programmen
Angriparna skickar falska mejl som påstår att företagen har utsatts för dataintrång och uppmanar mottagarna att ladda ner en påstått säkrare version av programmet. I själva verket leder länken till skadlig kod som installerar fjärrstyrningsverktyg på datorn.
Avslöjar
Säkerhetssajten BleepingComputer har avslöjat att filen som användarna ombeds ladda ner innehåller Syncro, ett verktyg för fjärrövervakning som används av IT-leverantörer. Genom Syncro installeras sedan fjärråtkomstprogrammet ScreenConnect, vilket ger angriparna full kontroll över offrets dator.
LastPass har gått ut med en varning och klargör att företaget inte har utsatts för något intrång. De falska mejlen är ett försök till social ingenjörskonst för att lura mottagare att installera den skadliga mjukvaran. Kampanjen tros ha startat under helgen för att utnyttja minskad bemanning under helgdagar och därmed fördröja upptäckten.
De falska mejlen uppges komma från adresser som “hello@lastpasspulse.blog” och “hello@lastpasjournal.blog” och hävdar felaktigt att äldre .exe-versioner av programmet är sårbara. Liknande mejl har skickats till Bitwarden-användare från “hello@bitwardenbroadcast.blog”, med nästan identiskt innehåll och syfte.
BleepingComputer har analyserat filerna och konstaterar att de två attackerna använder samma metod. Syncro-agenten installeras i bakgrunden utan att synas i systemfältet och används för att installera ScreenConnect. Denna åtkomst gör det möjligt för angriparna att stjäla data, installera mer skadlig kod och i värsta fall komma åt användarnas lösenordsvalv.
En liknande kampanj har nyligen riktats mot användare av 1Password. Falska mejl påstod att deras konton hade komprometterats och ledde till en falsk inloggningssida som samlade in användarnas huvudlösenord.
Användare uppmanas att ignorera dessa mejl och alltid logga in via den officiella webbplatsen för att kontrollera eventuella säkerhetsmeddelanden. Företagen kommunicerar riktiga säkerhetsincidenter via sina bloggar och pressmeddelanden – aldrig genom mejl som ber om lösenord eller installation av nya program.
Källor: BleepingComputer, Malwarebytes
Läs mer
