CERT-UA виявила понад 100 сайтів, заражених для поширення шкідливого ПЗ

Урядова команда реагування на комп’ютерні надзвичайні події України (CERT-UA) у вересні виявила понад 100 скомпрометованих вебсайтів, на сторінки яких зловмисники додали JavaScript-код для поширення шкідливого програмного забезпечення. Атака використовує техніку ClickFix: користувачу показують підроблену перевірку Cloudflare і пропонують виконати команду нібито для підтвердження, що він людина. Насправді команда запускає завантаження MSI-пакета з віддаленого сервера.

Сценарій був налаштований вибірково. Підроблена сторінка з’являлася лише на Windows-комп’ютерах, якщо користувач прийшов із пошукової системи, причому не частіше двох разів за 12 годин. Домен, з якого завантажувалася фальшива перевірка, і режим роботи скрипта зберігалися у смарт-контракті мережі Polygon або Ethereum. Це дозволяло змінювати параметри кампанії без повторного доступу до зламаних сайтів.

CERT-UA дослідила три варіанти MSI-пакетів. Усі вони зрештою використовувалися для встановлення Lunexstealer – 64-бітного шкідника для Windows, який викрадає збережені в браузерах паролі й токени, дані криптовалютних гаманців та інформацію про систему. Він також здатний завантажувати та запускати файли, MSI-пакети, PowerShell-скрипти та команди cmd.exe.

В одному з варіантів зловмисники намагалися обійти контроль облікових записів Windows і захист Microsoft Defender, використовуючи вразливий драйвер AMD та вразливість CVE-2023-20598. В іншому варіанті використовувалася легітимна програма для запуску підробленої DLL-бібліотеки, через яку завантажувався Lunexstealer.

Залежно від конфігурації шкідник встановлював розширення Lunaraxe, яке маскується під «Microsoft Office Word Editor». Воно викрадає cookies, історію браузера та дані з вебформ, а також дозволяє віддалено керувати вкладками, змінювати проксі та виконувати JavaScript на відкритих сторінках. За наявності додаткового компонента Naivemess розширення отримує доступ до файлової системи Windows.

CERT-UA нагадує: справжня перевірка «Я не робот» не просить натискати Win+R, відкривати PowerShell або командний рядок і вставляти команди. Якщо сайт вимагає таких дій, сторінку слід закрити.

Стратегія охолодження ЦОД для епохи AI