Підроблені оновлення браузерів розповсюджують шкідливі програми

Кіберзлочинці користуються довірою до оновлень браузерів для розгортання шкідливого програмного забезпечення — викрадачів інформації та програм-шпигунів, — отримуючи доступ до конфіденційних даних і дистанційного керування пристроєм.

Для багатьох користувачів оновлення браузерів є рутинною процедурою, яку часто вважають фоновим завданням. Однак нещодавній звіт фірми з кібербезпеки eSentire вказує на зростання популярності шахрайської тактики, яка користується таким ставленням до цього процесу та застосовує фальшиві оновлення браузерів.

Алгоритм проведення атаки

Ці зловмисні кампанії використовують методи соціальної інженерії, щоб обманом змусити користувачів завантажити й запустити шкідливе програмне забезпечення, про що попереджає thehackernews.com. Ланцюжок атак зазвичай починається зі скомпрометованого сайту, що містить шкідливий JavaScript-код. Цей код переспрямовує користувачів, які нічого не підозрюють, на начебто легітимну сторінку оновлення браузера, часто розміщену на домені, створеному для імітування справжнього сервера оновлень. На цій сторінці розташоване посилання для завантаження ZIP-архіву (Update.zip). Цей нібито нешкідливий архів містить шкідливий JavaScript-файл (Update.js), призначений для завантаження додаткового корисного навантаження.

На наступному етапі використовуються скрипти PowerShell. Update.js ініціює виконання скриптів PowerShell, відповідальних за отримання подальшого шкідливого програмного забезпечення, зокрема трояна для віддаленого доступу (RAT) BitRAT і викрадача інформації Lumma Stealer. Примітно, що ці шкідливі програми маскуються під файли зображень у форматі PNG, що дає змогу запобігти їхньому виявленню традиційними засобами захисту. Отримані скрипти PowerShell також зберігаються в зараженій системі, забезпечуючи продовження шкідливої активності навіть після її перезавантаження. Крім того, завантажується завантажувач на базі .NET, який, імовірно, функціонує як служба доставлення шкідливого програмного забезпечення, оскільки він використовувався для розгортання BitRAT і Lumma Stealer.

Небезпека та вплив

Троян BitRAT сам собою становить значну загрозу. Цей багатофункціональний RAT надає зловмисникам широкий спектр можливостей, зокрема викрадення даних, майнінг криптовалют, завантаження додаткових двійкових файлів шкідливого програмного забезпечення та навіть дистанційне керування скомпрометованим пристроєм. Luma Stealer – доступний у даркнеті викрадач інформації, що спеціалізується на викраденні конфіденційної інформації з браузерів, криптовалютних гаманців та інших сховищ.

У звіті eSentire наголошується на дедалі більшій складності цих атак, а також на дедалі ширшому використанні тактик соціальної інженерії, які не обмежуються традиційними випадковими завантаженнями та шкідливою рекламою. Одним із таких прикладів є різновид кампанії ClearFake, яка обманом змушує користувачів вручну виконувати шкідливий код, замаскований під вирішення проблеми з відображенням у браузері. Ця кампанія демонструє критичну потребу в обізнаності користувачів і скептичному ставленні до несподіваних пропозицій, навіть якщо вони видаються надійними.

Що кажуть фахівці DigVel

Попри те, що виявлена схема є новим прикладом застосування методів соціальної інженерії — з таргетованими атаками, використанням рідної мови, адаптацією під браузери, — ця техніка є давно відомою спеціалістам із кіберзахисту.

Єдиний дієвий спосіб боротьби з подібною загрозою — підвищення обізнаності серед користувачів. Якщо ви отримали певне важливе повідомлення, реагувати на нього потрібно адекватно та стежити за каналами, яким воно до вас надійшло. Сповіщення про оновлення браузера супроводжуватиметься появою кнопки «Оновити» (Update) у браузері; після повідомлення від банку про блокування ваших рахунків зателефонуйте за офіційним номером телефону вашого банку й переконайтеся в правдивості цієї інформації. Тобто в будь-якому разі за появи будь-яких підозр або сумнівів слід перевірити, чи вас не намагаються ошукати.

Навіть якщо повідомлення із закликом до дій виглядає цілком легітимним, але відрізняється від звичного для вас способу вирішення подібних проблем, зробіть по-своєму. Якщо ви отримали повідомлення про компрометацію облікового запису Google, не переходьте за посиланням у листі, а самостійно зайдіть у нього та перевірте, чи все з ним гаразд.

Використання шахраями сповіщень у браузері викликає зацікавлення серед фахівців із кіберзахисту, адже цей метод уже давно не застосовувався. На більшості операційних систем браузери оновлюються автоматично. Крім того, існують і автоматизовані рішення для захисту від фальшивих оновлень — інструменти Endpoint Detection and Response (виявлення та реагування на кінцевих пристроях, EDR), — які моніторять функціонування процесів і здатні виявляти спроби встановлення підроблених оновлень. Ці засоби також спроможні блокувати запуск шкідливого коду та сповіщати про події безпеки.

Бажаєте забезпечити свій бізнес професійним захистом, але не знаєте, з чого почати? Зверніться до DigVel! Наша команда сертифікованих фахівців із кібербезпеки ретельно проаналізує ваше IT-середовище на наявність вразливостей і допоможе виправити їх, перш ніж ними скористаються зловмисники.