צוות ה-CERT-UA האוקראיני דיווח על קמפיין שבו יותר מ-100 אתרים פרוצים מוזרק להם קוד JavaScript זדוני, שמציג למבקרים בדיקת אימות מזויפת בסגנון Cloudflare ומפיץ את הנוזקה LunexStealer.
הפרטים
הדף המזויף טוען שהוא מאמת שהגולש אנושי, ומנחה אותו להריץ פקודה בעצמו. זו שיטת ClickFix, והפקודה מורידה חבילת MSI משרת מרוחק. תוארו שלושה וריאנטים: התקנה בסיסית, וריאנט שעוקף UAC באמצעות דרייבר AMD פגיע, וריאנט שמבוסס על DLL sideloading דרך קובץ הרצה לגיטימי.
הנוזקה מתקינה הרחבת דפדפן שמתחזה ל-"Microsoft Office Word Editor". היא אוספת עוגיות, היסטוריה ופרטים שהוזנו בטפסים, ומאפשרת שליטה מרחוק בדפדפן. רכיב נוסף, NAIVEMESS, נותן גישה למערכת הקבצים ושולח נתונים החוצה דרך PowerShell. הקמפיין מיוחס לאשכול UAC-0277, וגם Arctic Wolf Labs ו-Ontinue ניתחו אותו.
נקודות לשים לב
- הגבל דרך מדיניות קבוצתית (GPO) את הגישה לחלון ההרצה של Windows, כי כל התקיפה תלויה בכך שהמשתמש מדביק פקודה.
- חסום התקנות
MSIללא הרשאות מנהל, ועקוב אחר הרצות שלmsiexec.exe. - הפעל את רשימת החסימה של דרייברים פגיעים של מיקרוסופט ואת כלל ה-ASR שחוסם דרייברים חתומים פגיעים.
- הגבל הרחבות דפדפן לרשימה מאושרת, וסרוק תחנות לאיתור הרחבות שמתחזות לכלי משרדי.
- הדרכת עובדים: אימות אמיתי של Cloudflare לא מבקש להריץ פקודות במחשב.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
