Um ataque de SEO poisoning foi descoberto, que entrega um instalador de TestDisk modificado com um trojano, abusa de um binário assinado pela Microsoft para DLL sideloading e instala silenciosamente o cliente de monitoramento remoto e gestão (RMM) ScreenConnect, permitindo acesso direto ao teclado. O domínio falso copia a marca da ferramenta de recuperação de dados aberta-source, apresentando-se como "O Ultimate [...]".
Detalhes Técnicos
Ataque de SEO poisoning: O ataque envolve manipular os resultados de busca para direcionar usuários a um site falso que parece ser uma ferramenta de recuperação de dados legítima.
Trojano no instalador de TestDisk: O instalador modificado contém um trojano que pode ser executado após a instalação.
DLL sideloading: O ataque abusa de um binário assinado pela Microsoft para carregar dinamicamente um módulo de DLL malicioso.
Instalação silenciosa do ScreenConnect: O cliente de RMM é instalado sem o conhecimento do usuário, permitindo acesso direto ao teclado.
Domínio falso: O ataque utiliza um domínio falso que copia a marca da ferramenta de recuperação de dados legítima.
