Netskope wurde im Gartner Magic Quadrant für Security Service Edge 2022 als führendes Unternehmen ausgezeichnet. Report abrufen.

  • Produkte

    Netskope-Produkte basieren auf der Netskope Security Cloud.

  • Plattform

    Unübertroffene Transparenz und Daten- und Bedrohungsschutz in Echtzeit in der weltweit größten privaten Sicherheits-Cloud.

Netskope wurde 2022 zum Marktführer im Gartner Magic Quadrant™ for SSE Report ernannt

Report abrufen Netskope Produktübersicht
Netskope führend bei SSE in Gartner MQ 2022

Netskope bietet einen modernen Cloud-Security-Stack mit vereinheitlichten Funktionen für Daten- und Bedrohungsschutz sowie sicherem privaten Zugriff.

Erkunden Sie unsere Plattform
Städtische Metropole aus der Vogelperspektive

Steigen Sie auf marktführende Cloud-Security Service mit minimaler Latenz und hoher Zuverlässigkeit um.

Mehr Informationen
Beleuchtete Schnellstraße mit Serpentinen durch die Berge

Verhindern Sie Bedrohungen, die häufig anderen Sicherheitslösungen entgehen, mithilfe eines SSE-Frameworks mit single-pass Architektur

Mehr Informationen
Gewitter über einem Großstadtgebiet

Zero-Trust-Lösungen für SSE- und SASE-Deployments

Mehr Informationen
Bootsfahrt auf dem offenen Meer

Netskope ermöglicht einen sicheren, cloudintelligenten und schnellen Weg zur Einführung von Cloud-Diensten, Apps und Public-Cloud-Infrastrukturen.

Mehr Informationen
Windkraftanlagen entlang einer Klippe
  • Customer Success

    Sichern Sie Ihren Weg zur digitalen Transformation und holen Sie das Beste aus Ihren Cloud-, Web- und privaten Anwendungen heraus.

  • Kunden-Support

    Proaktiver Support und Engagement zur Optimierung Ihrer Netskope-Umgebung und zur Beschleunigung Ihres Erfolgs.

  • Schulung und Zertifizierung

    Netskope-Schulungen helfen Ihnen ein Experte für Cloud-Sicherheit zu werden.

Vertrauen Sie darauf, dass Netskope Sie bei dem Schutz vor neuen Bedrohungen, neuer Risiken und technologischer Veränderungen unterstützt. Ebenso bei organisatorischen sowie Compliance Anforderungen.

Mehr Informationen
Lächelnde Frau mit Brille schaut aus dem Fenster

Wir verfügen weltweit über qualifizierte Ingenieure mit unterschiedlichem Hintergrund in den Bereichen Cloud-Sicherheit, Netzwerke, Virtualisierung, Inhaltsbereitstellung und Softwareentwicklung, die bereit sind, Ihnen zeitnahe und qualitativ hochwertige technische Unterstützung zu bieten.

Mehr Informationen
Bärtiger Mann mit Headset arbeitet am Computer

Mit Netskope-Schulungen können Sie Ihre digitale Transformation absichern und das Beste aus Ihrer Cloud, dem Web und Ihren privaten Anwendungen machen.

Mehr Informationen
Gruppe junger Berufstätiger bei der Arbeit
  • Ressourcen

    Erfahren Sie mehr darüber, wie Netskope Ihnen helfen kann, Ihre Reise in die Cloud zu sichern.

  • Blog

    Erfahren Sie, wie Netskope die Sicherheits- und Netzwerktransformation durch Security Service Edge (SSE) ermöglicht.

  • Veranstaltungen& Workshops

    Bleiben Sie den neuesten Sicherheitstrends immer einen Schritt voraus und tauschen Sie sich mit Gleichgesinnten aus

  • Security Defined

    Finden Sie alles was Sie wissen müssen in unserer Cybersicherheits-Enzyklopädie.

Security Visionaries Podcast

Bonus-Episode: Die Bedeutung von Security Service Edge (SSE)

Podcast abspielen
Dunkelhäutiger Mann in einer Webkonferenz

Lesen Sie die neuesten Informationen darüber, wie Netskope die Zero Trust- und SASE-Reise durch Security Service Edge (SSE) -Funktionen ermöglichen kann.

Den Blog lesen
Sonnenaufgang und bewölkter Himmel

SASE-Week

Netskope hilft Ihnen dabei, Ihre Reise zu beginnen und herauszufinden, wo Sicherheit, Netzwerk und Zero Trust in die SASE-Welt passen.

Mehr Informationen
SASE-Week

Was ist Security Service Edge?

Entdecken Sie die Sicherheitselemente von SASE, die Zukunft des Netzwerks und der Security in der Cloud.

Mehr Informationen
Kreisverkehr mit vier Straßen
  • Unternehmen

    Wir helfen Ihnen, den Herausforderungen der Cloud-, Daten- und Netzwerksicherheit einen Schritt voraus zu sein.

  • Warum Netskope?

    Cloud-Transformation und hybrides Arbeiten haben die Art und Weise verändert, wie Sicherheit umgesetzt werden muss.

  • Unternehmensführung

    Unser Führungsteam ist fest entschlossen, alles zu tun, was nötig ist, damit unsere Kunden erfolgreich sind.

  • Partner

    Unsere Partnerschaften helfen Ihnen, Ihren Weg in die Cloud zu sichern.

Netskope ermöglicht das "neue" Arbeiten

Finde mehr heraus
Kurvige Straße durch ein Waldgebiet

Netskope definiert Cloud-, Daten- und Netzwerksicherheit neu, um Unternehmen dabei zu unterstützen, Zero-Trust-Prinzipien zum Schutz von Daten anzuwenden.

Mehr Informationen
Serpentinenstraße auf einer Klippe

Denker, Architekten, Träumer, Innovatoren. Gemeinsam liefern wir hochmoderne Cloud-Sicherheitslösungen, die unseren Kunden helfen, ihre Daten und Mitarbeiter zu schützen.

Lernen Sie unser Team kennen
Gruppe von Wanderern erklimmt einen verschneiten Berg

Die partnerorientierte Markteinführungsstrategie von Netskope ermöglicht es unseren Partnern, ihr Wachstum und ihre Rentabilität zu maximieren und gleichzeitig die Unternehmenssicherheit an neue Anforderungen anzupassen.

Mehr Informationen
Gruppe junger, lächelnder Berufstätiger mit unterschiedlicher Herkunft
Blog Threat Labs Black Friday is Coming and LNKR Malware Might Be Watching You
Nov 24 2021

Black Friday is Coming and LNKR Malware Might Be Watching You

Summary

Black Friday is a long-awaited day for many people, as it generates a lot of sales in both physical stores and online marketplaces. With the ongoing COVID pandemic, online sales are expected to be even more intense this year, and along with that, we will likely see an increase in cyber scams.

Attackers will try to steal your money in many ways: through phishing sites, banking malware, remote access trojans, and more. However, there is one type of malware that people often underestimate: adware.

In 2019, Netskope Threat Labs identified a campaign linked to the malware LNKR, which is an Ad Injection Framework commonly delivered through malicious Google Chrome extensions, where the attacker can inject rogue advertisements on any page the victim is accessing for monetization. Later in 2020, we identified another campaign from LNKR, after blocking this variant from many different pages.

The year 2021 is no different either. LNKR is still active and Netskope continues to block requests from this threat. With the upcoming Black Friday holiday, the demand for products increases, as well as the chances of someone landing on a fraudulent page through a malicious advertisement. In this blog post, we will analyze LNKR and show how this type of threat can be dangerous.

LNKR Malware

Although this threat is adware, it’s not as harmless as one may think. LNKR contains many capabilities, including:

  • Exfiltrate data from search engines;
  • Redirect the user to any page the attacker wants;
  • Display its own monetized advertisements;
  • Inject any JavaScript from external websites.

LNKR is commonly distributed via infected Google Chrome extensions. However, the code is also capable of self-replication, injecting itself into web pages where the user has write permissions (i.e. capable of infecting websites).

Screenshot of main LNKR script.
Main LNKR script.

As soon as the script is loaded, it sends several requests to its C2 server, which is hosted on the same website as the main script. In these requests, we can see the following pattern:

  • /metric/
    This endpoint is used as feedback for LNKR actions, whether they were successful or not.
  • /optout/<operation>
    This endpoint is used to interact with the malware’ configuration, where <operation> can be “set” or “get”. The list of actions LNKR performs through this endpoint was mapped by TrendMicro early in 2021.
Screenshot of LNKR initial requests
LNKR initial requests.

The metrics requests are sent through an invisible image element that is added to the HTML page.

Screenshot of LNKR function for sending metrics to the C2 server.
LNKR function for sending metrics to the C2 server.

Analyzing its capabilities, the malware starts by injecting many scripts into the page that are loaded through a hardcoded configuration.

Screenshot of LNKR external scripts to load.
LNKR external scripts to load.

This configuration is stored in JSON, where it has the URLs for the external scripts and other settings such as allowed/denied countries and browsers.

Screenshot of LNKR external scripts to be injected into the page.
LNKR external scripts to be injected into the page.

In this case, one of the external scripts loaded by LNKR contains a function named “insertScript”, which can be used to inject JavaScript code into any page the victim is accessing. 

This is extremely dangerous as the attacker can inject anything into the page, like a script to steal credit card data for example.

Screenshot of Function to inject JavaScript code into the page.
Function to inject JavaScript code into the page.

This malware also contains hardcoded targeted websites, like the Russian social network named OK, where the rogue advertisement is loaded through iframes.

Screenshot of function to inject JavaScript code into the page.
Function to inject JavaScript code into the page.

Another targeted website is Amazon. The malware checks the website the user is browsing through a regex pattern.

Screenshot of LNKR checking if the website is Amazon.
LNKR checking if the website is Amazon.

If the victim is shopping at Amazon, the malware collects information about the products, such as the name, price, and items in the cart, which are later used for advertisement/monetization.

Screenshot of LNKR exfiltrating information from Amazon.
LNKR exfiltrating information from Amazon.

Booking is also on the target list. If the victim accesses the original website or its corresponding typos, the request is stopped and the user is redirected to another page.

Screenshot of LNKR redirects the user if the page is Booking.
LNKR redirects the user if the page is Booking.

Furthermore, there are also functions to exfiltrate data from search engines, like Google, Yahoo, and go.mail.ru. If that’s the case, anything the victim is searching is redirected to another page.

Screemshot of LNKR redirects the victim’s search.
LNKR redirects the victim’s search.

Conclusion

We demonstrated how LNKR is able to inject JavaScript into any page, redirect and exfiltrate the victim’s search results, and display rogue advertisements for its own benefit. Adware is not as harmless as one might think, as it can cause many serious problems such as theft of personal information, and delivery of other types of malware. We need to be on the lookout for these types of attacks, especially during Black Friday, where the chance of accessing a fraudulent ad is increased.

Protection

Netskope Threat Labs is actively monitoring this campaign and has ensured coverage for all known threat indicators and payloads. 

  • Netskope Threat Protection
    • Script-JS.Adware.Lnkr
  • Netskope Advanced Threat Protection provides proactive coverage against this threat.
    • Gen.Malware.Detect.By.StHeur indicates a sample that was detected using static analysis
    • Gen.Malware.Detect.By.Sandbox indicates a sample that was detected by our cloud sandbox

IOCs

Hashes (SHA256)

a2fe96b7fe6cb873f771c4753fd75bc8476bb3ff7c48e5d362d2ba62d4a83854

305272b83c898b6b8a83f398ca3421d538a46ba9ec9893b454cb3eb11319499b

URLs

hxxps://rayanplug[.]xyz/1d933b8fbaeff2de0c.js

hxxps://rayanplug[.]xyz/metric/

hxxps://rayanplug[.]xyz/optout/

hxxps://hublosk[.]com/js/int.js

hxxps://hublosk[.]com/newapi/api

hxxps://hublosk[.]com/redir/

hxxps://jullyambery[.]net/api

hxxp://adrs[.]me/get

hxxp://www.youradexchange[.]com/a/display.php

Other IOCs for LNKR can be found here and here.

author image
About the author
Gustavo Palazolo is an expert in malware analysis, reverse engineering and security research, working many years in projects related to electronic fraud protection. He is currently working on the Netskope Research Team, discovering and analyzing new malware threats.
Gustavo Palazolo is an expert in malware analysis, reverse engineering and security research, working many years in projects related to electronic fraud protection. He is currently working on the Netskope Research Team, discovering and analyzing new malware threats.