یک کمپین مخرب جدید با ترکیب روش کلیکفیکس (ClickFix) با کپچای جعلی و اسکریپت امضاشده مایکروسافت App-V، بدافزار سارق اطلاعات آماترا (Amatera) را توزیع میکند. بر اساس گزارش شرکت بلکپوینت سایبر، حمله با یک صفحه تأیید کپچای جعلی آغاز میشود که قربانی را فریب میدهد تا دستوری را بهصورت دستی در پنجره Run ویندوز اجرا کند. این دستور از اسکریپت قانونی SyncAppvPublishingServer.vbs سوءاستفاده میکند و پاورشل را از طریق فایل باینری معتبر wscript.exe اجرا میکند. بدافزار در مراحل اولیه بررسی میکند که آیا در محیط آزمایشگاهی اجرا میشود یا خیر، و در صورت تشخیص محیط تحلیل، اجرا را بهصورت نامحدود متوقف میکند.
در مراحل بعدی حمله، بدافزار اطلاعات پیکربندی را از یک فایل تقویم عمومی گوگل دریافت کرده و با استفاده از تکنیک استگانوگرافی، بارهای مخرب را در تصاویر PNG میزبانیشده در CDNهای عمومی پنهان میکند. نسخه نهایی پاورشل شلکد بومی را رمزگشایی و اجرا میکند که بدافزار سارق اطلاعات آماترا را فعال میسازد. این بدافزار که بر اساس سارق اطلاعات ACR ساخته شده و بهصورت مالور بهعنوان سرویس (MaaS) در دسترس است، میتواند دادههای مرورگر و اعتبارنامهها را از سیستمهای آلوده جمعآوری کند. محققان برای دفاع در برابر این حملات، محدودسازی دسترسی به پنجره Run ویندوز، حذف اجزای App-V در صورت عدم نیاز، فعالسازی لاگگیری پاورشل و نظارت بر اتصالات خروجی را پیشنهاد میکنند.
کلمات کلیدی : بدافزار آماترا, کلیکفیکس, کپچای جعلی, سارق اطلاعات, پاورشل, استگانوگرافی
نظر شما چیست؟
خوشحال میشویم نظر شما را بدانیم. نظری بنویسید.