Η Kaspersky αποκάλυψε εξελιγμένη απάτη με δόλωμα το DeepSeek

Ερευνητές ασφαλείας της Kaspersky αποκάλυψαν πως κυβερνοεγκληματίες χρησιμοποίησαν τεχνολογία geofencing, παραβιασμένους επαγγελματικούς λογαριασμούς και συντονισμένα δίκτυα bot για τη διανομή κακόβουλου λογισμικού μεταμφιεσμένου σε λογισμικό DeepSeek, συγκεντρώνοντας πάνω από 1,2 εκατομμύρια προβολές στο X. Οι ομάδες Έρευνας Απειλών και Τεχνολογίας AI της Kaspersky εντόπισαν από κοινού μια εξελιγμένη εκστρατεία εξαπάτησης που εκμεταλλεύεται τη ραγδαία ανάπτυξη και το ενδιαφέρον του κοινού γύρω από το DeepSeek AI για τη διανομή κακόβουλου λογισμικού μέσω απατηλών ιστότοπων.

Στην έρευνά τους, οι ειδικοί της Kaspersky αποκάλυψαν ότι οι κυβερνοεγκληματίες δημιούργησαν παραπλανητικά αντίγραφα του επίσημου ιστότοπου του DeepSeek, χρησιμοποιώντας ονόματα domain όπως «deepseek-pc-ai[.]com» και «deepseek-ai-soft[.]com». Με βάση τη διεύθυνση IP και τη γεωγραφική τοποθεσία κάθε επισκέπτη, οι κακόβουλοι ιστότοποι αλλάζουν δυναμικά την παρουσίαση του περιεχομένου, επιτρέποντας στους επιτιθέμενους να προσαρμόσουν την προσέγγισή τους και να μειώσουν τον κίνδυνο ανίχνευσης.

Δρώντας στρατηγικά, οι επιτιθέμενοι παραβίασαν τον λογαριασμό μιας νόμιμης αυστραλιανής εταιρείας στα μέσα κοινωνικής δικτύωσης, προκειμένου να διαδώσουν κακόβουλους συνδέσμους. Η μοναδική αυτή κακόβουλη ανάρτηση κέρδισε την προσοχή, με 1,2 εκατομμύρια προβολές και εκατοντάδες αναδημοσιεύσεις. Οι ερευνητές διαπίστωσαν ότι οι περισσότερες από αυτές προέρχονταν από λογαριασμούς bot που λειτουργούσαν συντονισμένα, κάτι που ήταν εμφανές λόγω των παρόμοιων ονομάτων και χαρακτηριστικών των προφίλ που υποδήλωναν την σκόπιμη ενίσχυση του κακόβουλου περιεχομένου.

Οι επισκέπτες που παρασύρονταν στους απατηλούς ιστότοπους καθοδηγούνταν στη λήψη μιας ψεύτικης εφαρμογής του DeepSeek. Αντί για το αυθεντικό λογισμικό, αυτοί οι ιστότοποι προωθούσαν κακόβουλα προγράμματα εγκατάστασης μέσω της πλατφόρμας Inno Setup. Μόλις εκτελούνταν, τα προγράμματα εγκατάστασης επικοινωνούσαν με απομακρυσμένους διακομιστές εντολών και ελέγχου για να ανακτήσουν PowerShell scripts κωδικοποιημένα σε Base64. Στη συνέχεια, αυτά τα scripts ενεργοποιούσαν την ενσωματωμένη υπηρεσία SSH των Windows, την αναδιαμόρφωναν με κλειδιά ελεγχόμενα από τους επιτιθέμενους και επέτρεπαν την πλήρη, μη εξουσιοδοτημένη, απομακρυσμένη πρόσβαση στα παραβιασμένα συστήματα.

ΤΕΥΧΟΣ 693