Хакеры используют поддельную капчу CloudFlare для сокрытия загрузки трояна

Хакеры используют поддельную капчу CloudFlare для сокрытия загрузки трояна

Хакеры используют поддельную капчу CloudFlare для сокрытия загрузки трояна

В Sucuri наблюдают развитие запущенной в августе кампании, нацеленной на засев RAT в связке с инфостилером по методу скрытой загрузки (drive-by). Злоумышленники внедряют на WordPress-сайты JavaScript, который отображает фейковую страницу защитного сервиса CloudFlare и предлагает посетителю скачать некий софт для завершения проверки.

Вредоносные JavaScript-инъекции осуществляются путем добавления трех строк кода в компоненты ядра CMS, файлы тем или плагинов. Количество сайтов, зараженных в ходе новых атак, невелико — меньше 1 тыс.; почти в половине случаев непрошеный довесок был обнаружен в /wp-includes/js/jquery/jquery.min.js.

Ранее этот скрипт загружал необходимый для работы контент (на тот момент поддельное предупреждение защиты CloudFlare от DDoS) из домена adogeevent[.]com. Новые варианты JavaScript-сценария запрашивают другие домены, хотя IP-адрес остался прежним.

Изменилось также скачиваемое содержимое. Теперь потенциальной жертве выводят диалоговое окно CAPTCHA, якобы подтянутое с сервера CloudFlare.

 

При вводе любого значения в указанном поле (даже правильного) всплывает подсказка: для получения доступа к сайту необходимо завершить проверку; если возникли проблемы, скачайте наш софт, чтобы больше не тратить время на тесты.

Клик по вставленной кнопке Download влечет загрузку файла .iso с последующей распаковкой вредоносного содержимого — CLOUDFLA.EXE или Cloudflare_security_installer.exe. Чтобы усилить иллюзию легитимности и отвлечь внимание, в системе запускается процесс обновления Google Chrome: примечательно, что апдейтер при этом использует русский язык.

Тем временем в фоновом режиме в систему устанавливается RAT — инструмент удаленного администрирования NetSupport, полюбившийся вымогателям SocGholish. Эта полезная нагрузка, по словам аналитиков, осталась прежней. Тем не менее, ее распознают лишь два десятка антивирусов из коллекции VirusTotal (по состоянию на 15 сентября).

В придачу к RAT жертва, как и ранее, получает инфостилера Racoon. У Джерома Сегуры (Jerome Segura) из Malwarebytes по поводу зловреда иное мнение — эксперт считает, что это троян Amadey с C2-сервером в Штатах. Продукты Kaspersky и некоторые другие сканеры детектируют вредоносный комплект с вердиктом «банковский троян» — не исключено, что заражение может обернуться финансовыми потерями.

Эксперты Sucuri зафиксировали схожую атаку, но с использованием другой фейковой страницы CloudFlare — предупреждения о блокировке доступа.

 

При этом для загрузки предлагался троянский файл весом 669,9 Мбайт. Видимо, автор атаки пытался таким образом обойти антивирусы, которые обычно пропускают большие файлы из-за лимита на размеры. Полезная нагрузка также включала записку с советом запустить экзешник — якобы для того, чтобы почистить системный реестр, но тогда зловреда можно было бы вычислить с помощью поведенческого анализа и эвристик.

Аналитики также отметили случай хостинга полезной нагрузки на GitLab. Мошеннический аккаунт уже заблокирован.

Предложенный мошенниками обход блокировки Roblox превратил iPhone в кирпич

Российских детей, потерявших доступ к Roblox, атакуют мошенники. Как оказалось, вместо искомого обхода ограничений, введенных Роскомнадзором, жертвы получают заблокированный телефон и требование выкупа за возврат контроля.

Об одном из таких случаев «Базе» рассказали родители потерпевшей, 14-летней девочки из Башкирии. В ходе поиска способа обхода блокировки Roblox ей поступило предложение скачать программу для iPhone, якобы открывающую доступ к популярной платформе.

На указанной ссылкой странице требовалось ввести учетные данные от аккаунта Apple. Последовав инструкции, юная россиянка обнаружила, что смартфон перезагрузился, на экране появилось привычное приветствие, а затем — сообщение о блокировке устройства.

Обойтись без помощи старших не удалось: гаджет был в нерабочем состоянии. Зайдя в Telegram дочери с другого устройства, родители увидели сообщение с требованием выкупа. В случае неуплаты неизвестный грозился навсегда удалить все данные.

 

Когда пострадавший iPhone отнесли в сервисный центр, там сказали, что его можно лишь продать на запчасти — либо поменять прошивку за 20 тыс. рублей, без гарантии успеха и сохранения содержимого. Оказалось, что подобные обращения участились, у них это уже 15-й случай.

Сетевые мошенники далеко не первый раз пытаются воспользоваться фактом блокировки Roblox в рунете. Злоумышленники активно предлагают подросткам обходные пути, пытаясь под этим предлогом добраться до банковского счета родителей, наградить несмышленыша зловредом либо с помощью фишинга получить доступ к ценному Roblox-аккаунту.

Сам владелец популярной игровой платформы смущен введенными в России ограничениями и недавно изъявил готовность соответствовать местным нормам безопасности и устранить все проблемы, на которые ему пенял РКН.

RSS: Новости на портале Anti-Malware.ru