Onderzoekers hebben een phishingaanval ontdekt waarbij slachtoffers worden misleid om een virtual machine met backdoor te installeren. De aanval begint zeer vermoedelijk met een phishingmail, waarbij wordt gelinkt naar een zogenaamde enquête genaamd 'OneAmerica Survey'. In werkelijkheid gaat het om een 285 megabyte groot bestand, dat een installatie van QEMU bevat, een open source emulator.

De QEMU-installatie laadt een Linux-instance die voorzien is van een backdoor, waardoor de aanvaller verbinding met de besmette machine kan maken. "Deze setup stelt de aanvaller in staat om onopvallend aanwezig te blijven op de machine van het slachtoffer, verdere aanvallen vanuit een verborgen omgeving uit te voeren, wat detectie voor traditionele virusscanners lastig maakt. Aangezien QEMU legitieme software is, die vaak wordt gebruikt in ontwikkeling en onderzoek, zal de aanwezigheid ervan meestal geen alarm laten afgaan", aldus securitybedrijf Securonix.

"Niet een veelvoorkomende techniek, toch? Eigenlijk kan ik me op dit moment zelfs niet herinneren of ik QEMU ooit eerder op deze manier in een malwarecampagne heb gezien. Zelfs als dit niet volledig nieuw is, is het zeker niet gewoon", aldus MalwareHunterTeam op X. Organisaties wordt onder andere aangeraden om het gebruik van legitieme software op ongebruikelijke locaties te monitoren en alert te zijn op het downloaden van bestanden van externe bronnen.