سوءاستفاده از نرم‌افزار دارای امضای دیجیتال برای استقرار اسکریپت‌های غیرفعال‌کننده آنتی‌ویروس

محققان امنیتی شرکت Huntress یک کمپین بدافزاری پیچیده را کشف کرده‌اند که در آن ابزارهای تبلیغ‌افزار (adware) دارای امضای دیجیتال، با بهره‌گیری از سطح دسترسی SYSTEM، نرم‌افزارهای امنیتی را در هزاران سیستم غیرفعال می‌کنند. این کمپین که به شرکتی به نام Dragon Boss Solutions LLC نسبت داده می‌شود، در یک روز بیش از ۲۳,۵۰۰ میزبان آلوده در ۱۲۴ کشور را درگیر کرده است. مرورگرهای جعلی این شرکت نظیر Chromstera و Chromnius از طریق یک مکانیزم به‌روزرسانی مخفیانه، یک اسکریپت PowerShell به نام ClockRemoval.ps1 را مستقر می‌کنند که محصولات امنیتی شناخته‌شده‌ای چون Malwarebytes، Kaspersky، McAfee و ESET را غیرفعال کرده، دامنه‌های آن‌ها را مسدود می‌سازد و از نصب مجدد آن‌ها جلوگیری می‌کند.

محققان Huntress با ثبت دامنه اصلی به‌روزرسانی که اپراتور فراموش کرده بود آن را ثبت کند، موفق به رهگیری (sinkhole) ترافیک آلوده شدند و دریافتند که ۳۲۴ میزبان در شبکه‌های حساس، از جمله ۲۲۱ مؤسسه دانشگاهی، ۴۱ شبکه فناوری عملیاتی (Operational Technology) در بخش انرژی و حمل‌ونقل، ۳۵ نهاد دولتی و شهری، و سازمان‌های بهداشتی آلوده شده‌اند. این شرکت هشدار داده است که زیرساخت موجود می‌تواند در هر زمان برای استقرار بارهای مخرب‌تر مورد سوءاستفاده قرار گیرد و توصیه می‌کند مدیران سیستم به دنبال اشتراک‌های رویداد WMI حاوی «MbRemoval» و وظایف زمان‌بندی‌شده مرتبط با «ClockRemoval» بگردند.