Nauja „ErrTraffic“ paslauga įgalina „ClickFix“ atakas per netikrus naršyklės trikdžius

Naujas elektroninių nusikaltimų įrankis, pavadintas „ErrTraffic“, leidžia grėsmių subjektams automatizuoti „ClickFix“ atakas sukuriant „netikras triktis“ pažeistose svetainėse, kad priviliotų vartotojus atsisiųsti naudingus krovinius arba vykdyti kenkėjiškas instrukcijas.

Platforma žada net 60% konversijų rodiklius ir gali nustatyti tikslinę sistemą, kad būtų galima pateikti suderinamus naudingus krovinius.

„ClickFix“ yra socialinės inžinerijos metodas, kai taikiniai apgaule apgaudinėjami savo sistemose vykdyti pavojingas komandas, tikintomis prielaidomis, pavyzdžiui, išspręsti technines problemas arba patvirtinti savo tapatybę.

Jis išpopuliarėjo nuo 2024 m., ypač šiais metais, nes ir kibernetiniai nusikaltėliai, ir valstybės remiami veikėjai jį perėmė dėl efektyvumo apeinant standartines saugumo kontrolę.

„ClickFix“ automatizavimas

„ErrTraffic“ yra nauja kibernetinių nusikaltimų platforma, kurią anksčiau šį mėnesį rusakalbiuose įsilaužimo forumuose reklamavo kažkas, naudodamas slapyvardį LenAI.

Ji veikia kaip savarankiška srauto paskirstymo sistema (TDS), kuri diegia ClickFix masalus ir parduodama klientams už vienkartinį 800 USD pirkimą.

„Hudson Rock“ tyrėjai, išanalizavę platformą, praneša, kad joje yra patogus skydelis, suteikiantis įvairias konfigūravimo parinktis ir prieigą prie kampanijos duomenų realiuoju laiku.

Užpuolikas jau turi valdyti svetainę, kuri priima aukų srautą arba įvedė kenkėjišką kodą į teisėtą, pažeistą svetainę, ir tada per HTML eilutę prie jos pridėti ErrTraffic.

Svetainės elgesys išlieka toks pat įprastiems lankytojams, kurie neatitinka taikymo kriterijų, tačiau kai tenkinamos geografinės vietos ir OS pirštų atspaudų sąlygos, puslapio DOM pakeičiamas, kad būtų rodomas vaizdinis triktis.

Problemos gali būti sugadintas arba neįskaitomas tekstas, šrifto pakeitimas simboliais, netikri „Chrome“ naujiniai arba trūkstamos sistemos šrifto klaidos.

Dėl to puslapis atrodo „sugadintas“ ir sukuriama sąlyga suteikti aukai „sprendimą“ įdiegiant naršyklės naujinį, atsisiunčiant sistemos šriftą arba įklijuojant ką nors į komandų eilutę.

Jei auka laikosi instrukcijų, „JavaScript“ kodu į mainų sritį įtraukiama „PowerShell“ komanda. Vykdant komandą atsisiunčiamas naudingasis krovinys.

„Hudson Rock“ aiškiai nurodo, kad naudingos apkrovos yra „Lumma“ ir „Vidar“ informacijos vagystės sistemoje „Windows“, „Cerberus“ Trojos arklys „Android“, AMOS („Atomic Stealer“) „MacOS“ ir nenurodytos „Linux“ užpakalinės durys.

„ErrTraffic“ klientai gali apibrėžti kiekvienos tikslinės architektūros naudingąją apkrovą ir nurodyti šalis, kurios gali būti užkrėstos. Tačiau NVS (Nepriklausomų Valstybių Sandraugos) šalims yra užkoduota išimtis, kuri gali rodyti ErrTraffic kūrėjo kilmę.

„Hudson Rock“, kuris stebi visą kredencialų vagystės gyvavimo ciklą, praneša, kad daugeliu atvejų surinkti duomenys parduodami „darknet“ rinkose arba panaudojami siekiant pažeisti daugiau svetainių ir vėl įvesti „ErrTraffic“ scenarijų.