A kiberbiztonsági szakértők egy érdekes veszélyre hívják fel a figyelmet: a támadók újabban MP4 fájlnak álcázzák kártékony kódjaikat és a célrendszerre telepíteni kívánt alkalmazásokat is, ami azért probléma, mert ezeket a fájlokat normál videóként azonosítják a védelmi szűrők, azaz átcsúsznak a biztonsági ellenőrzéseken. A Censys munkatársai szerint a módszer köré egy kampány is épült, ami éppen fut, ebben az MP4-es fájlokat arra használják, hogy az adott rendszer sikeres „megfertőzése” után nagyobb fájlokat is eljuttathassanak rá úgy, hogy az nem tűnik gyanúsnak a védelem számára.
A kampány egy eléggé kiterjedt hálózat formájában fut, ami összesen 18 különálló malware buildre támaszkodik, ezeket 40 aktív szerverre szórták szét, amelyek 6 kiszolgáló hálózatban foglalnak helyet 4 különböző országban. Ahhoz persze, hogy az MP4-es fájlt továbbító fázisra sor kerüljön, előtte szükség van egy felhasználói hibára, amelyen keresztül lefut egy kártékony kód és bejutnak az áldozat rendszerére. Ez a támadás történhet úgy, hogy elvégeztetnek egy hamis CAPTCHA ellenőrzést, ami kezdeményezi a kártékony kód lefutását, de újabban arra is van példa, hogy az áldozatok saját magukat fertőzik meg, miután rábírják őket, másoljanak be egy parancsot a Windows Run mezőjébe.
Ha sikerrel járnak, az első lépés az, hogy a dropper ellenőrzi a PC nevét, ezzel SandBox jelenlétét keresi, majd elrejti a PowerShell konzolablakját és egy távoli szerverről letölt néhány szükséges binárist a támadás folytatásához. A szükséges tartalom adattitkosításának feloldását és a tartalom kitömörítését egyaránt elvégzi a szkript, majd indul a második fázis. Ekkor már a TEMP könyvtárba tölti le a fentebb említett hamis MP4 fájlt, közben Chrome User Agent-nek állítja be magát. A támadó szerveréről érkező MP4 a normál adatforgalom részének tűnik, de a fájlban nincs videós tartalom, hiszen egy úgynevezett rejtett UUID dobozról van szó, ami megmutatja a malware számára, hol van a hamis fájlban a számára használható tartalom.
Arról egyelőre nincs információ, pontosan mi a céljuk a támadóknak, de mivel a hamis MP4 fájl segítségével a NetSupport Manager alkalmazást telepítik a célszemély gépére, teljes kontrollt szeretnek felette, így gyakorlatilag bármit megtehetnek: adatokat lophatnak, kriptovalutát bányászhatnak, kémkedhetnek, vagy éppen értékesíthetik a hozzáférést más kiberbűnözők számára. A hamis MP4 fájl „lejátszása” nem okoz fertőzést, hiszen az csak egy konténer – mire megjelenik az adott rendszeren, a sikeres behatolásra sajnos már sor került. Ez persze nem zárja ki azt, hogy a későbbiekben olyan MP4 fájlokat is létrehozzanak, amelyek önmagukban is képesek az adott rendszer „megfertőzésére”, például különböző szkriptek lefuttatására, hátsó ajtó nyitására, illetve újabb tartalmak letöltésének előkészítésére.
