Исследователи обнаружили еще один метод, используемый в духе ClickFix: CrashFix.
В кампаниях ClickFix используются убедительные приманки — исторически это были экраны «проверки человека» — чтобы обманом заставить пользователя вставить команду из буфера обмена. После поддельных экранов обновления Windows , видеоуроков для пользователей Mac и многих других вариантов, злоумышленники теперь представили расширение для браузера, которое намеренно вызывает сбой в работе браузера.
Исследователи обнаружили подделку известного блокировщика рекламы и сумели внедрить её в официальную версию программы. Chrome Интернет-магазин под названием «NexShield» – Advanced «Защита веб-сайта». Строго говоря, сбой браузера обеспечивает определенный уровень защиты, но это не то, что обычно ищут пользователи.
Если пользователи устанавливают расширение для браузера, оно связывается с nexsnield[.]com (обратите внимание на орфографическую ошибку) для отслеживания установок, обновлений и удалений. Расширение использует Chrome Встроенный API (интерфейс прикладного программирования) системы оповещений заставляет программу ждать 60 минут, прежде чем начать вредоносную деятельность. Эта задержка снижает вероятность того, что пользователи сразу же свяжут установку с последующим сбоем.
После этой паузы расширение запускает цикл отказа в обслуживании, который повторно открывает соединения порта chrome.runtime, истощая ресурсы устройства, пока браузер не перестанет отвечать и не выйдет из строя.
После перезапуска браузера пользователи видят всплывающее окно с сообщением о том, что браузер завершил работу ненормально (что соответствует действительности, но не является неожиданным), и с инструкциями о том, как предотвратить подобную ситуацию в будущем.
Он представляет пользователю классические инструкции по открытию Win+R, нажмите Ctrl+V, и нажмите Enter, чтобы «исправить» проблему. Это типичное поведение ClickFix. Расширение уже поместило вредоносную команду PowerShell или cmd в буфер обмена. Следуя инструкциям, пользователь выполняет эту вредоносную команду и фактически заражает свой компьютер.
На основе проверки отпечатков пальцев, чтобы определить, присоединено ли устройство к домену, в настоящее время существует два возможных результата.
Если компьютер подключен к домену, он рассматривается как корпоративное устройство и заражается трояном удаленного доступа (RAT) на языке Python, получившим название ModeloRAT. На компьютерах, не подключенных к домену, полезный груз в настоящее время неизвестен, поскольку исследователи получили только ответ «TEST PAYLOAD!!!!». Это может означать, что разработка продолжается или что были обнаружены другие отпечатки, которые сделали тестовый компьютер непригодным.
Как оставаться в безопасности
Расширение больше не было доступно. Chrome На момент написания статьи это был интернет-магазин, но он, несомненно, появится под другим названием. Поэтому вот несколько советов, как оставаться в безопасности:
- Если вы ищете блокировщик рекламы или другие полезные расширения для браузера, убедитесь, что вы устанавливаете подлинную версию. Киберпреступники любят выдавать себя за надежное программное обеспечение.
- Никогда не запускайте код или команды, скопированные с веб-сайтов, из электронных писем или сообщений, если вы не доверяете источнику и не понимаете цель действия. Проверяйте инструкции самостоятельно. Если веб-сайт предлагает вам выполнить команду или техническое действие, прежде чем приступить к этому, проверьте официальную документацию или обратитесь в службу поддержки.
- Защитите свои устройства. Используйте актуальное решение для защиты от вредоносных программ в режиме реального времени с компонентом веб-защиты.
- Изучайте развивающиеся методы атак. Понимание того, что атаки могут исходить из неожиданных источников и развиваться, помогает сохранять бдительность. Продолжайте читать наш блог!
Полезный совет: бесплатное расширение Malwarebytes Browser Guard — очень эффективный блокировщик рекламы, защищающий от вредоносных веб-сайтов. Оно также предупреждает вас, когда веб-сайт копирует что-либо в буфер обмена, и добавляет небольшой фрагмент кода, чтобы сделать любые команды бесполезными.
От сообщения об угрозах до их устранения.
Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .
