Falsk kryptokonference gjorde Google Docs til et værktøj til malware

En konto på X med brugernavnet @HartmansDoeke udgav sig for at være CoinDesks vicepræsident og marketingchef. Herfra kontaktede angriberen personer med tilknytning til Black Hat og DEF CON – først gennem offentlige svar og derefter via private beskeder. Målet var at lokke dem ind i en opdigtet kryptokonference og få dem til at installere malware. 1411

Angriberen præsenterede et Google-dokument som materiale til planlægningen af den påståede konference. Selve dokumentet kunne se legitimt ud. Det skadelige element var en indlejret Google Apps Script-grænseflade og de instruktioner, der blev vist gennem den. De tilgængelige oplysninger beskriver et forsøg på at levere malware, men dokumenterer ikke, at Huntress-forskeren eller andre mål faktisk installerede programmet. 468

Sådan blev tilliden opbygget

De første beskeder brugte konferencerammen som en genvej til troværdighed. I et engelsk præget af fejl spurgte personen, om forskeren planlagde at deltage i en anden konference, og introducerede derefter en angiveligt CoinDesk-arrangeret begivenhed, som ikke eksisterede. Offentlige svar på X gjorde det muligt at finde eller udvælge relevante deltagere, mens direkte beskeder skabte et mere privat rum til næste trin. 4510

Da modtageren viste interesse, blev Google-dokumentet sendt som et planlægningsdokument. Sammen med dokumentet fulgte en såkaldt krypterings- eller dekrypteringsnøgle, som blev leveret i X-samtalen. Det fik henvendelsen til at ligne almindelig koordinering af et arrangement i stedet for et traditionelt phishingforsøg. 68

Fælden i Google Docs

En Google-bruger, der var logget ind, fik vist en brugerdefineret sidebjælke ved siden af dokumentet. Ifølge Huntress fik sidebjælken materialet til at se delvist krypteret ud og bad modtageren indtaste den nøgle, som var sendt i de private beskeder. Nøglen så ud til at mislykkes, hvilket gav angriberen en anledning til at præsentere de næste såkaldte gendannelsestrin. 68

Disse trin omfattede ClickFix-lignende instruktioner og en mulighed for at downloade en fil. Begge dele var udformet til at få modtageren til at hente og køre skadelig kode. Dokumentet var altså ikke blot et link til en mistænkelig ekstern hjemmeside: Ægte Google-hosting og en grænseflade, der lignede en indbygget Docs-funktion, blev brugt til at få arbejdsgangen til at virke bekendt. 48

Det er den centrale sikkerhedslæring. En ægte google.com-adresse eller et dokument, der åbner i en kendt cloudtjeneste, viser kun, hvor indholdet er hostet. Det beviser ikke, at dokumentet, scriptet, instruktionerne eller downloadsene er sikre.

Hvilken malware var involveret?

De rapporterede leveringsveje afhang af operativsystemet:

• macOS: Kampagnen forsøgte at levere Atomic macOS Stealer, også kaldet AMOS, som er en informationsstjæler. Den macOS-relaterede vej blev desuden koblet til en falsk Dropbox DocSend-deling og et forfalsket installationsprogram. 2
• Windows: Her indgik NetSupport RAT – et legitimt værktøj til fjernsupport og fjernskrivebord, som blev genbrugt som en remote-access-trojaner. 2
• Kryptovalutamål: Forskerne identificerede også et forfalsket Ledger-installationsprogram eller implantat. Det peger på, at kryptovalutaoplysninger og wallet-relaterede data tilsyneladende var blandt målene. 2

Den foreliggende dokumentation beskriver de tilsigtede payloads og leveringsmetoder. Den bekræfter ikke, at den Huntress-forsker, som undersøgte kampagnen, blev kompromitteret.

Huntress lod som om, de gik med på det

Huntress-forskeren opfattede henvendelsen som mistænkelig, men fortsatte samtalen og lod som om, vedkommende ville samarbejde. På den måde kunne Huntress observere beskederne, modtage dokumentet og dokumentere, hvordan den falske krypteringsprompt førte videre mod malwarekørsel. Forskeren installerede ikke payloaden. 1411

Undersøgelsen kunne dermed forbinde flere led i samme angrebskæde: identiteten på X, konferencehistorien, Google-dokumentet, Apps Script-sidebjælken, den falske nøgle og de operativsystemspecifikke malwareveje.

Advarselstegn, man bør reagere på

Kampagnen viser, hvorfor henvendelser med relation til konferencer bør behandles lige så kritisk som phishingmails – også når de kommer via et offentligt socialt medie og bruger en legitim cloudtjeneste.

Vær især opmærksom på:

• uopfordrede henvendelser fra en konto, der hævder at repræsentere en konferencearrangør, medievirksomhed eller sponsor;
• et ønske om at flytte samtalen fra et offentligt svar til private beskeder, før afsenderens identitet er uafhængigt bekræftet;
• dokumenter, der beder om en nøgle, adgangskode eller et dekrypteringstrin, som er sendt i en separat chat;
• Google Docs-dokumenter med en brugerdefineret sidebjælke eller en usædvanlig interaktiv prompt, der beder modtageren downloade software eller indsætte kommandoer; og
• wallets, fjernsupportværktøjer eller konferenceprogrammer, der tilbydes uden for organisationens uafhængigt bekræftede kanaler.

Hvis man har fulgt instruktionerne, bør man isolere den berørte enhed, nulstille potentielt afslørede loginoplysninger, udskifte hemmeligheder og gennemgå kryptovalutawallets samt andre følsomme konti. 1819

Hvad er bekræftet – og hvad er ikke?

Den leverede rapportering understøtter kampagnens centrale mekanik: identitetssvindel på X, offentlige svar og direkte beskeder, en falsk kryptokonference, et Google Docs-dokument udvidet med Apps Script, en falsk dekrypteringsnøgle, ClickFix-lignende opfølgende instruktioner og forsøg på at levere malware til både macOS og Windows. 1246811

Materialet indeholder derimod ikke en verificeret udtalelse fra den mistænkte angriber eller Google. Det rummer heller ikke tilstrækkelige oplysninger til en konkret sammenligning med navngivne, regeringsstøttede kampagner. På et overordnet niveau følger hændelsen et velkendt mønster, hvor sikkerhedsfolk rammes med målrettet social engineering. Det særlige her er, at tilliden til Google-hostet indhold og en Apps Script-baseret brugerflade blev gjort til en del af selve leveringskæden.