У світі кібербезпеки щодня з’являються нові загрози, і деякі з них вражають своєю винахідливістю. Уявіть: ви бачите на екрані термінове оновлення Windows, яке виглядає абсолютно реалістично. Але замість захисту системи ви власноруч запускаєте процес, що краде всі ваші паролі, банківські дані та навіть криптовалюту. Саме так працює нова версія шкідливого ПЗ ClickFix, яка перетворює звичайний малюнок у форматі PNG на небезпечну зброю. Давайте розберемося, як працює ця хитра схема і як не стати її жертвою.
Вірус під виглядом оновлення Windows краде ваші даніКіберзлочинці розробили надзвичайно переконливу пастку. Нова версія шкідливого програмного забезпечення ClickFix маскується під критичне оновлення безпеки Windows. Зазвичай це відбувається під час відвідування сайтів для дорослих або інших ресурсів із сумнівною репутацією. Раптово на весь екран з’являється вікно, що імітує процес оновлення системи, зі знайомим синім фоном та індикатором прогресу, який завмер на 95%. Користувачеві пропонується прискорити процес, власноруч виконавши кілька простих дій.
Схема соціальної інженерії полягає в тому,
щоб змусити вас діяти без роздумів. На екрані з’являється інструкція: натисніть клавіші Win + R, щоб відкрити вікно “Виконати”, вставте туди вже скопійовану в буфер обміну команду та натисніть Enter. Багато хто, побачивши попередження про “критичну загрозу”, може піддатися паніці й виконати ці кроки. Саме в цей момент ви надаєте зловмисникам адміністративний доступ до вашого комп’ютера, запускаючи ланцюжок зараження.
Після виконання команди активується стандартний системний інструмент mshta, який завантажує основну частину вірусу з віддаленого сервера. Щоб обійти антивірусний захист, наприклад, від Bitdefender, програма виконує безліч безглуздих команд PowerShell, створюючи “шум” і маскуючи свою справжню діяльність. Кінцевою метою цього етапу є розгортання потужних вірусів-викрадачів (інфостилерів), таких як Rhadamanthys або LummaC2, які починають нишпорити по системі в пошуках будь-якої цінної інформації.
Як звичайний малюнок PNG стає зброєю хакерівНайцікавіша частина цієї атаки — використання звичайного зображення у форматі PNG. Для антивірусних сканерів та й для самої системи це просто нешкідливий малюнок.
Однак усередині піксельних даних цього файлу хакери зашифрували шкідливий код. Цей метод, відомий як стеганографія, дозволяє приховувати інформацію всередині інших файлів. Спеціальний модуль, написаний на .NET, не відображає картинку, а “читає” її пікселі, розшифровує приховані в них інструкції та готує їх до виконання.
Коли код успішно витягнуто із зображення, він впроваджується в уже запущені системні процеси, щоб залишатися непомітним. Саме тоді починають свою роботу інфостилери Rhadamanthys та LummaC2. Вони сканують комп’ютер на наявність збережених логінів та паролів у браузерах, даних банківських карток, файлів криптовалютних гаманців та іншої конфіденційної інформації. Усе, що вдається знайти, миттєво упаковується і надсилається на сервери, що контролюються зловмисниками.
Дослідники з компанії Huntress, які виявили цю загрозу, зазначають, що зловмисники доклали чимало зусиль для маскування. У коді вірусу були знайдені навіть дивні текстові вставки, наприклад, цитата зі старого засідання ООН про необхідність знищення зброї заради миру — усе це робиться,
щоб заплутати аналітиків безпеки. Ця версія ClickFix активно поширюється з початку жовтня, і багато доменів з фейковим оновленням досі активні. Це, без сумніву, одна з найвинахідливіших і найнебезпечніших схем крадіжки даних, які ми бачили останнім часом.
Отже, що ми маємо в підсумку? Дуже небезпечний вірус, який прикидається оновленням Windows і змушує вас власноруч його активувати, а потім використовує звичайну картинку для крадіжки всіх ваших даних. Головний висновок — будьте пильними. Ніколи не виконуйте команди, які вам пропонують сайти, особливо якщо це пов’язано з “терміновими оновленнями”. Microsoft ніколи не розповсюджує критичні оновлення таким чином. Завжди перевіряйте URL-адреси та уникайте кліків по підозрілій рекламі. Найкращий захист — це здоровий глузд та обережність в інтернеті. Бережіть свої дані
