Этот коварный вариант вредоносного ПО был обнаружен с использованием поддельных экранов обновления Windows, чтобы обманом заставить пользователей самостоятельно устанавливать программное обеспечение для кражи информации
Если вы хоть немного похожи на меня, то внимательно следите за обновлениями защитника Windows, чтобы убедиться, что ваш компьютер защищен от новейших угроз. Однако, несмотря на то, что в наши дни Defender замечательно справляется с обнаружением сомнительных файлов, он не может многое сделать для того, чтобы пользователи сами обходили его методы защиты, если их убедить в этом.
Именно за этим занятием был пойман новый вариант известного вредоносного ПО ClickFix: за обманом пользователей заставляя их думать, что невинное обновление Windows требует от них вставить вредоносную команду в окно запуска (через пищащий компьютер). Исследователи из компании Huntress, предоставляющей услуги безопасности, подробно описали новый метод в своем блоге, и это настоящий подвиг социальной инженерии.
По сути, открывается окно браузера, содержащее полноэкранную версию того, что выглядит как экран обновления Windows, со знакомым синим фоном (хотя и с подозрительно выглядящим шрифтом). После завершения обновления на последнем шаге пользователю предлагается удерживать клавишу Windows и нажать R, открывая запущенный экземпляр.
Несчастным жертвам предлагается нажать Ctrl+V, что приводит к вставке вредоносного кода в приглашение выполнить, автоматически скопированное на компьютер. буфер обмена. Нажатие клавиши Enter активирует команду PowerShell, которая, в свою очередь, расшифровывает и загружает последовательность сборок reflective. NET, используемых для внедрения процесса.
После сложной последовательности тактик уклонения восстанавливается файл. png, содержащий шеллкод, в результате чего устанавливается вариант infostealer. Это чрезвычайно сложный процесс, который начинается с того, что пользователь сам запускает основную последовательность событий.
(Изображение предоставлено solarseven, через Getty Images)
Huntress более подробно описывает, как именно может быть изменен файл. png. используется для внедрения вредоносных программ в вашу систему, но если бы я хотел объяснить все это здесь, мне потребовалось бы еще восемь абзацев и, вполне возможно, немного вздремнуть. Это, можно сказать, очень новый подход, но меня заинтриговал аспект социальной инженерии в этой конкретной «приманке».
В конце концов, я всегда советую своим друзьям и родственникам обновлять Windows в качестве наилучшей меры безопасности, но я мало что могу сделать, чтобы защитить менее бдительных из них от того, чтобы они не попались на относительно убедительную подделку.
В результате в заключение, однако, я бы сказал, что Центр обновления Windows никогда не должен просить вас самостоятельно взаимодействовать с какими-либо системными процессами, и вы также не должны принимать бесплатные конфеты от незнакомцев. Этого должно хватить, тебе не кажется?
Другие статьи: