Фейкова перевірка Cloudflare: як російські хакери атакують український бізнес

Російські хакери розгорнули нову фішингову кампанію проти українського бізнесу - під удар потрапили сайти клінік, інтернет-магазинів та інших компаній. Зловмисники маскують атаку під системні сповіщення.

Про це інформує РБК-Україна з посиланням на The Hacker News.

Фейкова перевірка Cloudflare та механіка ClickFix

Для обману користувачів хакери інфікують легітимні вебсайти шкідливим скриптом. Під час відвідування такої сторінки людина бачить підроблене вікно перевірки безпеки Cloudflare українською мовою.

Схема інфікування розгортається за таким сценарієм

Автоматичне копіювання: скрипт непомітно транслює у буфер обміну Windows системну команду msiexec.exe.

Інструкція для користувача: на екрані з'являється заклик відкрити системне вікно "Виконати" (Win+R) та вставити туди скопійований текст.

Штучна затримка: сайт імітує завантаження протягом 35 секунд, щоб змусити жертву виконати інструкцію до того, як розблокується кнопка підтвердження.

Запустивши команду, користувач завантажує MSI-інсталятор з домену uasputnik[.]com, який розгортає в системі шкідливий файл psychedeliclove.exe.

Можливості Psychedelic Stealer

Виявлене шкідливе ПЗ Psychedelic Stealer розроблене для викрадення конфіденційних даних і збереження тривалого доступу до системи.

Воно збирає збережені паролі й токени з браузерів Chrome, Edge, Brave, Opera, а також сканує систему на наявність криптогаманців (MetaMask, Trust Wallet, Exodus, Atomic Wallet тощо).

Окрім цього, вірус здатний змінювати профілі браузерів та виконувати сторонні команди з командного сервера.

Аналітики Arctic Wolf виявили панель управління цією кампанією під назвою "РУБЛЁВКА TDS". Згідно зі статистикою панелі, з 557 переглядів інфікованих сторінок 446 припадає саме на Україну.

Інтерфейс російською мовою та фокус на українських користувачах чітко вказують на походження атак.

RemotePanel та BoundSiphon: обхід Defender

Паралельно дослідники Blackpoint Cyber зафіксували використання аналогічної схеми ClickFix для доставки інших небезпечних модулів - RemotePanel та BoundSiphon.

У цій варіації атаки хакери обходять контроль облікових записів (UAC) та налаштовують винятки у Microsoft Defender.

Після цього в систему завантажується RemotePanel, який маскується під службу часу Windows і надає повний віддалений контроль над ПК.

Разом із ним у оперативну пам'ять завантажується BoundSiphon - модуль для викрадення паролів та документів, здатний обходити нові механізми захисту Chromium App-Bound Encryption.

Фахівці з кібербезпеки закликають користувачів бути пильними, не копіювати підозрілі команди у системні вікна Windows та перевіряти адреси сайтів.