חוקרי אבטחה חשפו קמפיין הפצה פעיל של נוזקת גניבת מידע בשם Psychedelic Stealer, חלק מפלטפורמת Lunex שמוצעת כשירות לתוקפים. המאפיין הבולט בקמפיין הוא שימוש בדרייבר תקין אך פגיע של AMD כדי לנטרל כלי הגנה על נקודות קצה מבלי לכבות אותם למראית עין — טכניקה שמקשה על גילוי בזמן אמת.
הפרטים
הקמפיין, שתועד על ידי חברת Ontinue, פועל דרך אתרים לגיטימיים שנפרצו ומיועדים לגולשים דוברי אוקראינית — בהם אתר של מרפאת שיער, יצרן דגמים ובית ספר לפסיכולוגיה — שבהם הוטמע עמוד אימות מזויף בסגנון ClickFix. לחיצה על עמוד האימות מובילה להתקנת קובץ MSI זדוני שמפעיל רכיב טעינה בשם LunexLoader. הרכיב הזה טוען דרייבר AMD חתום וידוע כפגיע (CVE-2023-20598) בטכניקת BYOVD — שימוש בדרייבר תקין כדי להשיג הרשאות ליבה ולעצור בפועל את הניטור של תוכנות ההגנה, כשהתהליכים עצמם נשארים פעילים למראית עין. רק לאחר מכן מותקן הגונב עצמו, שמושך פרטי התחברות משבעה דפדפנים מבוססי Chromium וארנקי קריפטו של מספר ספקים. לפי החוקרים, התשתית מונה כ-28 פאנלים פעילים ב-13 מדינות, וההיקף גדל משמעותית לעומת שישה פאנלים בלבד שתועדו ביוני.
נקודות לשים לב
- חסום או נטר טעינה של דרייברים חתומים אך לא מוכרים ברשימת הכלים המורשים בארגון שלך — זו בדיוק הדרך שבה הקמפיין הזה עוקף EDR, ולא רק במקרה הזה.
- אל תסתמך על כך שתהליך ההגנה "נראה פעיל" בממשק הניהול — הטכניקה כאן משאירה את התהליך רץ אך חוסמת את יכולתו לדווח, כך שסטטוס ירוק אינו מבטיח כיסוי בפועל.
- אם הארגון שלך מתופעל על ידי משתמשים דוברי אוקראינית או פועל מול שירותים אוקראיניים, התייחס לעמודי אימות מסוג "אני לא רובוט" שמבקשים להריץ פקודה או קובץ כאינדיקציה לחשד, לא כתהליך תקין.
- הדרייבר הפגיע ידוע ומתועד עם מזהה CVE-2023-20598 — שקול לחסום את הגרסאות הפגיעות שלו ברשימת החסימה של מדיניות שלמות הקוד בארגון.
- המידע מבוסס על מחקר של חברה אחת נכון לעת פרסום זה; היקף הקמפיין בפועל מחוץ לאוקראינה לא אושר במקורות נוספים.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
