Киберпреступники распространяют вредоносное ПО Vidar через поддельный сайт Disney+

Эксперты по кибербезопасности из Unit 42, исследовательского подразделения Palo Alto Networks, обнаружили мошеннический веб-сайт, имитирующий официальный сервис Disney+, который использовался для распространения вредоносного ПО Vidar. Этот опасный троян, известный как инфостилер (stealer), предназначен для кражи конфиденциальных данных пользователей, включая пароли, банковские реквизиты, файлы cookies и другую ценную информацию.

Описание

Аналитики выяснили, что злоумышленники применяли необычную тактику - маскировали вредоносную кампанию под коллаборацию с влиятельными лицами. Посетителям сайта предлагалось ознакомиться с неким "коммерческим предложением", для чего необходимо было нажать кнопку "View Full Brief". Однако вместо ожидаемого документа пользователи запускали сложную цепочку заражения, которая проходила в фоновом режиме, оставаясь незамеченной.

Заражение происходило в несколько этапов и включало использование различных методов обфускации и скриптовых технологий. Вначале зловредная нагрузка доставлялась через WebDAV-сервер, после чего активировалась серия скрытых действий: PowerShell-скрипты, Windows-ярлыки (LNK), VBS-сценарии и запуск замаскированного JavaScript. Особенностью данной атаки стало то, что одновременно с фоновым заражением жертве демонстрировался поддельный PDF-документ, создавая видимость легитимного процесса.

Vidar - это мощный инфостилер, который активно используется киберпреступными группами в последние годы. Он способен извлекать данные из браузеров, криптовалютных кошельков, мессенджеров и даже перехватывать скриншоты с зараженных устройств. Похищенная информация затем передается на серверы злоумышленников, которые могут продавать ее на теневых форумах или использовать для дальнейших атак, таких как фишинг или мошенничество.

По данным исследователей, вредоносная кампания начала свою активность 5 июля 2025 года, однако на момент публикации многие из использовавшихся URL-адресов уже неактивны. Тем не менее, один из доменов - disneyplus[.]business - все еще функционирует, что указывает на потенциальную угрозу повторных атак в будущем.

В условиях роста сложности кибератак пользователям и компаниям следует оставаться бдительными и применять многоуровневые механизмы защиты, включая обучение сотрудников и мониторинг подозрительной активности в сети.