Как коварные BitRAT и Lumma Stealer обманывают пользователей, маскируясь под легитимные обновления.
Фальшивые обновления браузеров активно используются для распространения троянов удаленного доступа (RAT) и прочего вредоносного ПО, такого как BitRAT и Lumma Stealer (известный также как LummaC2).
Согласно недавнему отчету компании по кибербезопасности eSentire, фальшивые обновления браузеров приводят ко множеству заражений вредоносным ПО, включая широко известное SocGholish. В апреле 2024 года было замечено распространение вредоносного ПО FakeBat через аналогичные механизмы фальшивых обновлений.
Атака начинается, когда потенциальная жертва посещает зараженный веб-сайт, содержащий JavaScript-код, который перенаправляет пользователей на поддельную страницу обновления браузера («chatgpt-app[.]cloud»). На этой странице находится ссылка на скачивание архива ZIP («Update.zip»), размещенного на платформе Discord, который автоматически загружается на устройство жертвы.
Использование Discord в качестве вектора атаки становится все более распространенным: недавний анализ от Bitdefender выявил более 50 000 опасных ссылок, распространяющих вредоносное ПО, фишинг-кампании и спам за последние шесть месяцев.
В ZIP-архиве содержится JavaScript-файл («Update.js»), который запускает выполнение PowerShell-скриптов. Эти скрипты загружают дополнительные полезные нагрузки, включая BitRAT и Lumma Stealer, с удаленного сервера в виде PNG-файлов.
Также загружаются PowerShell-скрипты для обеспечения постоянства и загрузчик на базе .NET, используемый для запуска конечного этапа вредоносного ПО. Эксперты eSentire предполагают, что загрузчик рекламируется как «сервис доставки вредоносного ПО», поскольку используется для распространения как BitRAT, так и Lumma Stealer.
BitRAT — это многофункциональный RAT, позволяющий атакующим собирать данные, добывать криптовалюту, загружать дополнительные бинарные файлы и удалённо управлять зараженными устройствами. В то же время Lumma Stealer, доступный за $250-1000 в месяц с августа 2022 года, может захватывать информацию из веб-браузеров, криптокошельков и прочих источников.
Компания eSentire отмечает, что приманка в виде фальшивого обновления браузера стала популярным методом проникновения в устройства и сети, демонстрируя способность злоумышленников использовать доверенные имена для максимального охвата и воздействия.
Такие атаки часто используют техники Drive-by загрузок и вредоносную рекламу. В недавнем отчете ReliaQuest описан новый вариант кампании ClearFake, в которой пользователей обманывают, заставляя вручную копировать и выполнять вредоносный код PowerShell под видом обновления браузера.
Злоумышленники используют поддельные веб-страницы, утверждающие, что «возникла ошибка при отображении этой веб-страницы», и предлагают установить корневой сертификат, следуя ряду шагов, включая копирование и выполнение скрытого кода PowerShell.
После выполнения, PowerShell-код выполняет несколько функций, включая очистку DNS-кэша, отображение сообщения, загрузку дополнительного кода PowerShell и установку вредоносного ПО «LummaC2».
Lumma Stealer стал одним из самых распространенных похитителей информации в 2023 году, наряду с RedLine и Raccoon. Количество журналов, полученных с помощью LummaC2, выставленных на продажу, увеличилось на 110% с третьего по четвертый квартал 2023 года. Высокая успешность LummaC2 объясняется его эффективностью в инфильтрации систем и извлечении конфиденциальных данных без обнаружения.
В рамках своей защитной деятельности специалистам eSentire удалось оперативно выявить подозрительную активность и изолировать зараженное устройство в системе клиента. Индикаторы компрометации выявленных угроз можно посмотреть здесь.
Этот инцидент подчеркивает важность повышения осведомленности пользователей о подлинности уведомлений об обновлениях и необходимости скачивания обновлений только из доверенных источников.