Очень уклончивая веб-кампания перехватывает буфер обмена пользователя, чтобы заманить его на запуск MSI-файлов для вредоносного ПО Legion Loader.
Описание
- Загружаемые MSI-файлы атрибутированы как Klio Verfair Tools, который, как известно, используется для MSI-файлов вредоносной программы Legion Loader.
- В этой кампании используется метод, называемый «pastejacking» или «перехват буфера обмена», поскольку зрителям предлагается вставить содержимое в окно Run.
- Эта кампания пытается избежать обнаружения с помощью нескольких стратегий маскировки:
- Страницы турникетов/капчи ведут к конечным страницам загрузки вредоносного ПО методом копирования/вставки.
- Страницы загрузки вредоносного ПО маскируются под сайты блогов при исследовании URL-адресов.
- URL-адреса для загрузки MSI-файла отличаются для каждой загрузки.
- URL-адреса для загрузки MSI-файла не работают сами по себе, если их пытаются загрузить вне цепочки заражения.
- Все домены доставки MSI-файлов для этой кампании разрешаются как 188.72.236[.]249.
- Palo Alto обнаружили 76 доменов для веб-сайтов, размещенных на этом IP-адресе.
- На странице загрузки потенциальным жертвам предлагаются инструкции:
- С помощью Win+R открыть окно «Выполнить» и вставить в него вредоносный скрипт.
- В инструкции сказано, что Win+R открывает терминал, но это неверно.
- Вредоносный скрипт использует curl для загрузки MSI-файла и открывает папку загрузки для отображения загруженного файла.
- TDS-трафик или партнерские ссылки приводят потенциальных жертв на эти вредоносные страницы загрузки.
- TDS и промежуточные редиректы также используют различные механизмы маскировки, такие как CAPTCHA и турникетные страницы Cloudflare.
- Эти TDS или партнерские ссылки имеют параметры, которые крайне недолговечны.
- При переходе по ссылке без действительного недолговечного параметра тот же URL отображает недоброкачественный контент.
- Это содержимое - поддельная запись в блоге, а сайты по адресу 188.72.236[.]249 замаскированы под сайты блогов.
Indicators of Compromise
