Lažni porno sajtovi šire malver koji krade sve

Istraživači iz kompanije Acronis upozoravaju na novu kampanju koja kombinuje ClickFix trikove i lažne porno sajtove kako bi prevarila korisnike da pokrenu maliciozne komande pod maskom "kritičnog" bezbednosnog ažuriranja za Windows.

Prema Acronisu, napad koristi lažne verzije popularnih porno sajtova (xHamster, PornHub), na koje se žrtve usmeravaju preko oglasa. Pornografski sadržaj nije slučajan – cilj je da žrtva, već zatečena "kompromitujućim" sadržajem, bude podložnija psihološkom pritisku i da instalira iznenadno lažno ažuriranje.

ClickFix napadi su eksplodirali u poslednjih godinu dana, a prema podacima Microsofta ovaj metod je postao najčešći početni metod pristupa, čineći 47% napada. Ideja je naterati korisnika da sam izvrši zlonamernu komandu.

U najnovijoj kampanji, nazvanoj JackFix, žrtvi se prikazuje izuzetno uverljivo lažno upozorenje o ažuriranju Windowsa. Ono preuzima ceo ekran i zahteva pokretanje Windows Run dijaloga i zatim pritisak na tastere Ctrl + V i Enter, čime se pokreće lanac infekcije.

• Pornhub zakukao
• Meta: Pornografiju koristimo samo za lične potrebe
• Gledate pornografiju? Vodite računa o ovome

Acronis napominje da lažni prozor za ažuriranje Windowsa nije ni malver ni sistemska komponenta: kompletna stranica je samo HTML + JavaScript u veb pregledaču. Uz pokušaje da se onemoguće tasteri Escape, F11, F5 i F12, stranica pokušava da zadrži korisnika u režimu celog ekrana iako Escape ipak radi.

Prvi korak je MSHTA payload koji se pokreće kroz mshta.exe. On učitava JavaScript koji zatim pokreće PowerShell komandu. Domeni koji sadrže payload vraćaju maliciozni odgovor samo kada im se pristupi putem irm ili iwr PowerShell komandi što je još jedan sloj prikrivanja.

Preuzeti PowerShell koristi i agresivan pristup za eskalaciju privilegija a kada to uspe, skripta distribuira malvere, među kojima su Rhadamanthys Stealer, Vidar Stealer 2.0, RedLine Stealer, Amadey i različiti loader-i i RAT-ovi.

Acronis ovo naziva najdrastičnijim primerom "spray and pray" taktike. Ako samo jedan payload uspe da se pokrene, žrtvi su ugrožene lozinke, kripto novčanici i svi podaci u pregledačima. Ako se aktivira loader ili RAT, napad može brzo eskalirati i dovesti do daljeg preuzimanja sistema.