Proofpoint: Обнаружена новая атака на пользователей браузера Chrome

Олег Иванов 19 Января 2017 - 13:07

Домашние пользователи

...

Исследователи в области безопасности Proofpoint предупреждают, что недавно была замечена кампания по распространению вредоносных программ, ориентированная на пользователей браузера Chrome на компьютерах на базе Windows.

Новый вид атаки был замечен экспертами в декабре, когда они обнаружили, что один из взломанных сайтов пытается загрузить файл Chrome_Font.exe на компьютер пользователей. Сайт, который обнаружили исследователи Proofpoint был скомпрометирован небезызвестной цепочки EITest. Стало быть, он пытался загрузить файл на компьютеры жертв только после запуска ряда механизмов фильтрации.

Как выяснили эксперты, злоумышленники таким образом атакуют пользователей браузера Chrome на операционных системах Windows. Как только пользователь заходит на вредоносный сайт, используя этот браузер, скрипт, внедренный в страницу делает текст нечитаемым и пользователю отображается уведомление, предлагающее скачать и установить новые шрифты для корректного отображения.

«Схема заражения довольно проста: если пользователь отвечает определенным критериям (User-Agent, страна, из которой пользователь, т.п.) скрипт встраивается в страницу скомпрометированного сайта и видоизменяет ее. Цель заключается в том, чтобы заставить пользователя скачать и установить якобы шрифты для правильного отображения страницы» - объясняет эксперт Proofpoint.

Исследователи также обнаружили, что скомпрометированные сайты будут пытаться заразить и пользователей Internet Explorer, но только более стандартным методом, через набор эксплоитов.

Атака на пользователей Chrome использует хранение всех данных между HTML-тегов в массиве, затем заменяя их на “&#0”. Так как неверный символ ISO, браузер будет отображать вместо него «кракозябры».

Пользователям отображается уведомление о том, что не хватает шрифта «HoeflerText» (такое название было при анализе атаки экспертами Proofpoint). Также пользователям говорится, что они должны немедленно установить этот шрифт. Уведомление нельзя закрыть с помощью кнопки «x», а вредоносная программа начнет выполняться сразу после того, как пользователь согласиться установить шрифт.

Proofpoint предполагает, что кампания началась 10 декабря 2016 года, файл Chrome_Font.exe детектируется как Fleercivet.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 18 Июля 2025 - 10:29

macOS Трояны Домашние пользователи

Новый macOS-вредонос с подписью Apple Developer заменяет Ledger Live

Специалисты из Jamf Threat Labs нашли новый вариант вредоносной программы для macOS, которая умудрилась пройти все защитные механизмы Apple — она была и подписана, и заверена с использованием настоящего сертификата Apple Developer.

Вредонос назывался Gmeet_updater.app и притворялся обновлением для Google Meet. Распространялся через .dmg-файл — это классика для macOS.

Несмотря на то что приложение было «официально одобрено» Apple, для запуска всё равно использовалась социальная инженерия: жертве нужно было кликнуть правой кнопкой мыши и выбрать «Открыть» — обход Gatekeeper для неподписанных приложений, только тут подпись как бы была.

Программа запускала некое SwiftUI-приложение с названием «Technician Panel» — якобы для отвода глаз, а параллельно связывалась с удалённым сервером и подтягивала дополнительные вредоносные скрипты.

Что делает этот инфостилер:

ворует пароли из браузеров (Safari, Chrome, Firefox, Brave, Opera, Waterfox);
вытаскивает текстовые файлы, PDF, ключи, кошельки и заметки Apple;
охотится за криптокошельками (Electrum, Exodus, Atomic, Ledger Live);
делает слепок системы с помощью system_profiler;
заменяет приложение Ledger Live на модифицированную и не подписанную версию с сервера злоумышленника;
отправляет всё украденное на хардкоденный сервер hxxp[:]//45.146.130.131/log.

Кроме кражи, вредонос умеет задерживаться в системе: прописывает себя в LaunchDaemons, создаёт скрытые конфиги и использует второй этап атаки — постоянный AppleScript, который «слушает» команды с сервера злоумышленника. Среди них — выполнение shell-скриптов, запуск SOCKS5-прокси и самоуничтожение.

Вишенка на торте — базовая защита от анализа. Если вирус понимает, что его крутят в песочнице, он «молча» прекращает активность и в системе появляется фиктивный демон с аргументом Black Listed.

Jamf выяснили, что сертификат разработчика с ID A2FTSWF4A2 уже использовался минимум в трёх вредоносах. Они сообщили об этом Apple — и сертификат аннулировали. Но осадочек, как говорится, остался: зловред вполне мог обойти все базовые фильтры macOS.

Proofpoint: Обнаружена новая атака на пользователей браузера Chrome

Читайте также