Hackers misbruiken privéberichten op LinkedIn om malware te verspreiden

LinkedIn wordt steeds vaker ingezet als aanvalskanaal door cybercriminelen. Beveiligingsonderzoekers waarschuwen voor een nieuwe campagne waarbij aanvallers via privéberichten op LinkedIn slachtoffers verleiden tot het downloaden van malware die volledige toegang tot hun systeem kan geven.

Volgens onderzoek van ReliaQuest maken de aanvallers gebruik van een slimme techniek waarbij legitieme software wordt gecombineerd met kwaadaardige code. Het doel: het ongemerkt installeren van een zogenoemde remote access trojan (RAT), waarmee systemen op afstand kunnen worden bestuurd.

De aanval begint met een ogenschijnlijk onschuldige LinkedIn-conversatie. Slachtoffers - vaak professionals met toegang tot gevoelige systemen - worden benaderd via directe berichten. Na het opbouwen van vertrouwen volgt een verzoek om een bestand te downloaden, meestal verpakt als een WinRAR-archief. Dat archief bevat onder meer:

Zodra de PDF-reader wordt gestart, wordt de kwaadaardige DLL automatisch ingeladen. Deze techniek, bekend als DLL sideloading, maakt misbruik van vertrouwde processen en is daardoor lastig te detecteren.

Eenmaal actief installeert de malware een Python-omgeving die bij elke Windows-login automatisch start. De schadelijke code wordt vervolgens direct in het geheugen uitgevoerd, zonder zichtbare bestanden achter te laten. Dat bemoeilijkt forensisch onderzoek en vergroot de kans dat de aanval lange tijd onopgemerkt blijft.

De uiteindelijke payload maakt contact met een externe server, waarmee aanvallers data kunnen stelen, systemen kunnen manipuleren en zich lateraal door netwerken kunnen bewegen.

Volgens ReliaQuest is deze campagne waarschijnlijk breed en opportunistisch opgezet, maar moeilijk in te schatten qua schaal. Dat komt doordat sociale media-berichten zelden dezelfde beveiliging en monitoring hebben als e-mail.

Het is bovendien niet de eerste keer dat LinkedIn wordt misbruikt. In eerdere campagnes deden aanvallers zich voor als recruiters en lokten slachtoffers met nepvacatures of technische assessments - een tactiek die ook werd gebruikt door Noord-Koreaanse hackersgroepen.

De kern van het probleem: veel organisaties beschouwen sociale media nog niet als serieus aanvalsoppervlak. Terwijl medewerkers dagelijks via LinkedIn communiceren, ontbreekt vaak zicht op wat daar gebeurt.

Beveiliging stopt dus niet bij e-mail. Organisaties die phishing serieus willen aanpakken, zullen ook moeten kijken naar berichtenplatforms, social media en andere informele communicatiekanalen.

LinkedIn is bedoeld om te verbinden - maar in de verkeerde handen kan dat vertrouwen een zwakke plek worden.