Хакеры используют поддельные всплывающие окна reCAPTCHA для установки вредоносного ПО и кражи криптовалюты
- Хакеры развертывают поддельные всплывающие окна reCAPTCHA для установки вредоносного ПО Amatera Stealer, нацеливаясь на криптокошельки и данные браузеров.
- Компания eSentire сообщает о росте атак с использованием ClickFix, доставляющих Amatera и NetSupport RAT через обманные предупреждения о безопасности.
- Новые фишинговые наборы и тактики сокрытия, включая Cephas, расширяют охват кампаний вредоносного ПО через скомпрометированные сайты и фальшивые страницы проверки.
Группа кибербезопасности eSentire обнаружила использование поддельных всплывающих окон в стиле CAPTCHA для обмана жертв с целью развертывания вредоносного ПО для сбора учетных данных, Amatera Stealer и NETSupport RAT, злоупотребляя методом, известным как ClickFix.
Подразделение реагирования на угрозы eSentire (TRU) отслеживало эскалацию кампаний, использующих ClickFix для получения первоначального доступа к целевым системам в ноябре. Согласно TRU, злоумышленники используют этот метод для социальной инженерии, заставляя жертв вручную запускать вредоносные команды через диалоговое окно «Выполнить» в Windows.
После выполнения эти команды запускают цепочку заражения, которая заканчивается развертыванием Amatera Stealer и NetSupport RAT, оба из которых являются легитимными инструментами удаленного мониторинга, переделанными киберпреступниками для несанкционированного удаленного доступа.
Кампания ClickFix использует reCAPTCHA для скрытной установки вредоносного ПО
Согласно исследованию eSentire опубликованном в прошлый четверг хакеры заманивали жертв, используя поддельные веб-сайты и всплывающие окна, имитирующие «проверки безопасности», включая мошеннические окна проверки reCAPTCHA и поддельные страницы Cloudflare Turnstile.
Обманные интерфейсы побуждают пользователей «исправить» предполагаемую проблему, причем инструкции заставляют их выполнять вредоносные команды, не видя рисков. После выполнения первоначальной команды сначала доставляется Amatera Stealer, за которым следует установка NetSupport Manager, позволяющая хакерам контролировать и управлять скомпрометированной машиной так, как будто они находятся физически.
Amatera Stealer — это не совсем новая угроза, а новейшая эволюция ACR Stealer, также известного как AcridRain. Более ранняя версия впервые появилась как продукт Malware-as-a-Service на хакерских форумах в 2024 году, который несколько пользователей развертывали через подписные пакеты.
Продажи ACR были приостановлены в середине 2024 года, когда его разработчик, известный в сети как SheldIO, продал исходный код вредоносного ПО. Несмотря на объявление о продаже, группа заявила, что это «не конец» его разработки. Исследователи теперь считают, что Amatera является прямым преемником ACR, перестроенным с более широкими возможностями и новыми методами обхода защиты.
Amatera, обнаруженная фирмой аудита безопасности Proofpoint в июне, доступна по подписке от $199 в месяц до $1 499 в год.
«Amatera предоставляет злоумышленникам обширные возможности для эксфильтрации данных, нацеленные на криптокошельки, браузеры, мессенджеры, FTP-клиенты и почтовые сервисы. Он использует передовые стратегии обхода, такие как WoW64 SysCalls, для обхода механизмов хуков пользовательского режима, используемых песочницами, антивирусными решениями и продуктами EDR», — заявило eSentire.
Вредоносное ПО написано на C++ и способно собира сохраненные пароли, данные карт, историю просмотров и файлы из браузеров, таких как Chrome, Brave, Edge, Opera, Firefox, а также из специализированных платформ, таких как Tor Browser и Thunderbird.
Многоэтапные загрузчики Windows PowerShell, скрывающие вредоносное ПО
Согласно анализу угроз eSentire, процесс заражения Amatera построен на нескольких слоях зашифрованных команд PowerShell.
Исследователи TRU наблюдали фазу, расшифровывающую последующие полезную нагрузку с использованием процесса XOR на строке «AMSI_RESULT_NOT_DETECTED», термине, связанном с Microsoft Anti-Malware Scan Interface. Разработчик загрузчика мог намеренно выбрать эту фразу, чтобы запутать исследователей, проводящих динамический анализ.
Хотя Amatera является наиболее распространенной полезной нагрузкой, доставляемой в этих кампаниях, eSentire также задокументировала случаи, когда тот же загрузчик использовался для развертывания других инфостилеров, включая Lumma и Vidar. Некоторые образцы не имели параметров конфигурации, необходимых для запуска многоэтапных загрузчиков, в которых хакеры выбирали развернуть NetSupport Manager напрямую.
eSentire и другие компании по кибербезопасности задокументировали кампании по распространению электронных писем с файлами сценариев Visual Basic, замаскированными под счета. При открытии файлы выполняли пакетные сценарии, которые инициировали загрузчики PowerShell, доставляющие XWorm.
Другие кампании включали скомпрометированные веб-сайты, которые перенаправляли посетителей на поддельные страницы проверки Cloudflare, имитирующие запросы ClickFix. Эта деятельность связана с операцией, известной под именами SmartApeSG, HANEYMANEY и ZPHP, все из которых имеют NetSupport RAT в качестве конечной полезной нагрузки.
Хакеры создали мошеннические веб-сайты Booking.com, которые размещали поддельные проверки CAPTCHA, инструктируя пользователей открыть диалоговое окно «Выполнить» в Windows и выполнить команду, напрямую устанавливая скрипт для кражи учетных данных на зараженные системы.
Некоторые из фишинговые кампании связанные с этими поставками вредоносного ПО, используют новый фишинговый набор инструментов под названием Cephas. Согласно компании по кибербезопасности Barracuda, Cephas использует продвинутый метод обфускации, который вставляет невидимые символы в исходный код фишинговых страниц, что затрудняет обнаружение автоматическими сканерами.
«Набор инструментов скрывает свой код, создавая случайные невидимые символы внутри исходного кода, что помогает ему избегать сканеров анти-фишинга и препятствует совпадению сигнатурных правил YARA с точными методами фишинга», — Barracuda написал в своем анализе на прошлой неделе.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
