Киберпреступники активно используют поддельные CAPTCHA-проверки для распространения опасных троянов и инфостилеров, включая Lumma Stealer, Rhadamanthys, AsyncRAT и XWorm. Согласно исследованию экспертов Trend Micro, злоумышленники внедряют сложные многоэтапные схемы заражения, заставляя жертв вручную выполнять вредоносные команды через окно «Выполнить» в Windows. Такой подход позволяет злоумышленникам обходить традиционные средства защиты, поскольку вредоносный код запускается в памяти, не оставляя следов на диске, что усложняет его обнаружение файловыми антивирусами.
Описание
Атаки начинаются с фишинговых писем, вредоносной рекламы (malvertising) или SEO-отравления поисковой выдачи. Пользователи попадают на поддельные веб-страницы, где им предлагается пройти «проверку CAPTCHA». Вместо стандартного ввода символов жертвам предлагается скопировать и вставить команду в окно «Выполнить» (Win + R). Эти команды запускают такие процессы, как mshta.exe или PowerShell, которые, в свою очередь, загружают многослойно зашифрованные скрипты. Интересно, что злоумышленники часто прячут вредоносный код в MP3-файлы, например, в легальные аудиотреки с платформы Jamendo, что помогает им избежать подозрений. Как только скрипт активируется, он загружает и выполняет полезную нагрузку прямо в оперативной памяти, что делает атаку особенно скрытной.
Основными способами распространения таких атак являются фишинг, SEO-отравление и использование заражённых MP3-файлов. В фишинговых письмах злоумышленники используют убедительные темы, например, «Срочно: забытые вещи гостя», чтобы побудить пользователей перейти по ссылке на фальшивую CAPTCHA-страницу. В случае SEO-отравления вредоносные сайты маскируются под легальные ресурсы - например, страницы с информацией о достопримечательностях, - и занимают высокие позиции в поисковой выдаче Google. Третий метод предполагает внедрение JavaScript в аудиофайлы: когда пользователь открывает такой MP3-файл, запускается цепочка заражения через mshta.exe.
Главными целями киберпреступников являются кража конфиденциальных данных и получение удалённого доступа к заражённым системам. Такие инфостилеры, как Lumma Stealer и Rhadamanthys, собирают логины, пароли, cookies и данные криптокошельков, а трояны AsyncRAT и XWorm создают бэкдоры для полного контроля над устройством. Кроме того, злоумышленники активно используют методы обхода защиты, внедряя вредоносный код в легальные системные процессы, такие как OOBE-Maintenance.exe и wmplayer.exe, а также применяя технику DLL-подгрузки через файлы вроде goopdate.dll.
Чтобы минимизировать риски таких атак, эксперты рекомендуют принять ряд мер. Во-первых, для обычных пользователей целесообразно отключить окно «Выполнить» (Win + R), чтобы исключить ручной ввод вредоносных команд. Во-вторых, необходимо строго следовать принципу минимальных привилегий, ограничивая права доступа пользователей к критическим системным функциям. В-третьих, важно контролировать выполнение скриптов, блокируя запуск mshta.exe и powershell.exe в ненадёжных контекстах. Также рекомендуется усилить мониторинг аномальной активности, такой как необычные операции с буфером обмена или запуск браузеров с подозрительными параметрами, например: --disable-gpu.
Специалисты ожидают, что злоумышленники будут и дальше совершенствовать свои методы, внедряя полезную нагрузку в новые форматы файлов и используя социальные сети для распространения вредоносных ссылок. В этих условиях ключевыми мерами противодействия становятся не только технические решения, но и обучение пользователей основам кибербезопасности. Повышение осведомлённости о подобных угрозах поможет снизить количество успешных атак и минимизировать ущерб для частных лиц и организаций.
Индикаторы компрометации
![[GS-031] Azorult Stealer IOCs](https://1275.ru/wp-content/uploads/2026/09/55acef5444274761cdd63cb244f67e89.webp)
