Російські хакери розгорнули нову фішингову кампанію проти українського бізнесу - під удар потрапили сайти клінік, інтернет-магазинів та інших компаній. Зловмисники маскують атаку під системні сповіщення.
Про це інформує РБК-Україна з посиланням на The Hacker News. Фейкова перевірка Cloudflare та механіка ClickFix
Для обману користувачів хакери інфікують легітимні вебсайти шкідливим скриптом . Під час відвідування такої сторінки людина бачить підроблене вікно перевірки безпеки Cloudflare українською мовою.
Схема інфікування розгортається за таким сценарієм
Автоматичне копіювання : скрипт непомітно транслює у буфер обміну Windows системну команду msiexec. exe.
Інструкція для користувача : на екрані з'являється заклик відкрити системне вікно "Виконати" (Win+R) та вставити туди скопійований текст.
Штучна затримка : сайт імітує завантаження протягом 35 секунд, щоб змусити жертву виконати інструкцію до того, як розблокується кнопка підтвердження.
Запустивши команду, користувач завантажує MSI-інсталятор з домену uasputnik[.]com, який розгортає в системі шкідливий файл psychedeliclove. exe.
71% жертв - в Україні: фахівці викрили масштабну фішингову кампанію з РФ (скриншот: The Hacker News) Можливості Psychedelic Stealer
Виявленешкідливе ПЗ Psychedelic Stealer розроблене для викрадення конфіденційних даних і збереження тривалого доступу до системи .
Воно збирає збережені паролі й токени з браузерів Chrome, Edge, Brave, Opera, а також сканує систему на наявність криптогаманців (MetaMask, Trust Wallet, Exodus, Atomic Wallet тощо).
Окрім цього, вірус здатний змінювати профілі браузерів та виконувати сторонні команди з командного сервера.
Аналітики Arctic Wolf виявили панель управління цією кампанією під назвою "РУБЛЁВКА TDS". Згідно зі статистикою панелі,з 557 переглядів інфікованих сторінок 446 припадає саме на Україну .
Інтерфейс російською мовою та фокус на українських користувачах чітко вказують на походження атак. RemotePanel та BoundSiphon: обхід Defender
Паралельно дослідники Blackpoint Cyber зафіксували використання аналогічної схеми ClickFix для доставки інших небезпечних модулів - RemotePanel та BoundSiphon.
У цій варіації атаки хакери обходять контроль облікових записів (UAC) та налаштовують винятки у Microsoft Defender.
Після цього в систему завантажується RemotePanel, який маскується під службу часу Windows і надає повний віддалений контроль над ПК.
Разом із ним у оперативну пам'ять завантажується BoundSiphon - модуль для викрадення паролів та документів, здатний обходити нові механізми захисту Chromium App-Bound Encryption.
Фахівці з кібербезпеки закликають користувачівбути пильними, не копіювати підозрілі команди у системні вікна Windows та перевіряти адреси сайтів .
Ще більше цікавого : Від зливу даних до звільнення: 5 речей, які категорично не можна писати у ChatGPT Telegram, Facebook та TikTok: де українці читають новини та дивляться серіали