Chrome просит обновиться? Подумайте дважды, прежде чем позволить ему это сделать

Фальшивые обновления браузеров активно используются для распространения троянов удалённого доступа (RAT) и прочего вредоносного ПО, такого как BitRAT и Lumma Stealer (известный также как LummaC2).

Согласно недавнему отчёту компании по кибербезопасности eSentire, фальшивые обновления браузеров приводят ко множеству заражений вредоносным ПО, включая широко известное SocGholish. В апреле 2024 года было замечено распространение вредоносного ПО FakeBat через аналогичные механизмы фальшивых обновлений.

Атака начинается, когда потенциальная жертва посещает заражённый веб-сайт, содержащий JavaScript-код, который перенаправляет пользователей на поддельную страницу обновления браузера («chatgpt-app[.]cloud»). На этой странице находится ссылка на скачивание архива ZIP («Update.zip»), размещённого на платформе Discord, который автоматически загружается на устройство жертвы.

Использование Discord в качестве вектора атаки становится всё более распространённым: недавний анализ от Bitdefender выявил более 50 000 опасных ссылок, распространяющих вредоносное ПО, фишинг-кампании и спам за последние шесть месяцев.

В ZIP-архиве содержится JavaScript-файл («Update.js»), который запускает выполнение PowerShell-скриптов. Эти скрипты загружают дополнительные полезные нагрузки, включая BitRAT и Lumma Stealer, с удалённого сервера в виде PNG-файлов.

Также загружаются PowerShell-скрипты для обеспечения постоянства и загрузчик на базе .NET, используемый для запуска конечного этапа вредоносного ПО. Эксперты eSentire предполагают, что загрузчик рекламируется как «сервис доставки вредоносного ПО», поскольку используется для распространения как BitRAT, так и Lumma Stealer.

BitRAT — это многофункциональный RAT, позволяющий атакующим собирать данные, добывать криптовалюту, загружать дополнительные бинарные файлы и удалённо управлять заражёнными устройствами. В то же время Lumma Stealer, доступный за $250-1000 в месяц с августа 2022 года, может захватывать информацию из веб-браузеров, криптокошельков и прочих источников.

Компания eSentire отмечает, что приманка в виде фальшивого обновления браузера стала популярным методом проникновения в устройства и сети, демонстрируя способность злоумышленников использовать доверенные имена для максимального охвата и воздействия.

Такие атаки часто используют техники Drive-by загрузок и вредоносную рекламу. В недавнем отчёте ReliaQuest описан новый вариант кампании ClearFake, в которой пользователей обманывают, заставляя вручную копировать и выполнять вредоносный код PowerShell под видом обновления браузера.

Злоумышленники используют поддельные веб-страницы, утверждающие, что «возникла ошибка при отображении этой веб-страницы», и предлагают установить корневой сертификат, следуя ряду шагов, включая копирование и выполнение скрытого кода PowerShell.

После выполнения, PowerShell-код выполняет несколько функций, включая очистку DNS-кэша, отображение сообщения, загрузку дополнительного кода PowerShell и установку вредоносного ПО «LummaC2».

Lumma Stealer стал одним из самых распространённых похитителей информации в 2023 году, наряду с RedLine и Raccoon. Количество журналов, полученных с помощью LummaC2, выставленных на продажу, увеличилось на 110% с третьего по четвёртый квартал 2023 года. Высокая успешность LummaC2 объясняется его эффективностью в инфильтрации систем и извлечении конфиденциальных данных без обнаружения.

В рамках своей защитной деятельности специалистам eSentire удалось оперативно выявить подозрительную активность и изолировать заражённое устройство в системе клиента. Индикаторы компрометации выявленных угроз можно посмотреть здесь.

Этот инцидент подчёркивает важность повышения осведомлённости пользователей о подлинности уведомлений об обновлениях и необходимости скачивания обновлений только из доверенных источников.