Исследователи LevelBlue обнаружили кампанию социальной инженерии, в которой злоумышленники используют поддельные страницы CAPTCHA, чтобы заставить пользователей Windows запустить вредоносное ПО Stealthy StealC Information Stealer.
По данным LevelBlue, StealC крадет учетные данные браузеров, криптовалютные кошельки, аккаунты Steam, данные Outlook, информацию о системе и снимки экрана, отправляя их на сервер управления (C2) через HTTP-трафик с RC4-шифрованием.
Атака строится на поддельных страницах проверки CAPTCHA на уже скомпрометированных сайтах. Эти страницы визуально копируют проверку безопасности Cloudflare, из-за чего пользователи Windows считают процесс обычной защитой и вручную выполняют вредоносные команды PowerShell, принимая их за часть проверки (об этом сообщает TechRepublic).
CAPTCHA обычно служит для защиты пользователей: она блокирует спам и попытки подбора паролей, подтверждая, что перед сервисом находится человек, а не бот. Однако в данном случае проверка превращена в инструмент атаки.
По информации LevelBlue, пользователи попадают на ранее легитимный сайт, который уже взломан. Хакеры встраивают на него вредоносный JavaScript, загружающий поддельную страницу CAPTCHA, которая внешне напоминает интерфейс проверки Cloudflare.
Вместо обычных визуальных заданий такая страница просит пользователя нажать Win + R, затем Ctrl + V и клавишу Enter якобы для завершения проверки.
Этот подход, называемый ClickFix, использует доверие пользователей Windows к простым подсказкам по сочетаниям клавиш. Люди редко сомневаются в подобных инструкциях, особенно если считают сайт надежным и воспринимают действия как обычную проверку безопасности.
Следуя указаниям на поддельной CAPTCHA, жертва автоматически помещает вредоносную команду PowerShell в буфер обмена. При вставке в окно «Выполнить» команда запускается без появления стандартных диалогов загрузки или предупредительных окон браузера.
После запуска скрипт PowerShell подключается к удаленному серверу и загружает основной код. Так активируется загрузчик, который может обходить привычные меры защиты и снижать эффективность стандартных способов блокировки атак.
LevelBlue рекомендует усиливать защиту за счет ограничения запуска скриптов, применения контроля запускаемых приложений в Windows и мониторинга исходящего трафика, чтобы сократить риск утечки учетных данных.
Источник: Windows Central, LevelBlue, TechRepublic.
