Исследователи Acronis Threat Research Unit (TRU) обнаружили первую в истории активную кампанию FileFix, которая выходит за рамки первоначального доказательства концепции (Proof of Concept, POC). Атака отличается применением стеганографии для сокрытия вредоносного кода в изображениях и сложной многоэтапной инфраструктурой, что делает её одной из наиболее продвинутых в семействе *Fix-атак.
Описание
FileFix представляет собой вариант атаки, при котором пользователя обманом заставляют вставить вредоносную команду в адресную строку окна загрузки файлов вместо стандартного использования терминала или диалогового окна «Выполнить». Обнаруженная кампания использует фишинговый сайт, имитирующий страницу безопасности Facebook*, с поддержкой 16 языков, что указывает на глобальный характер целевых атак.
Особенностью этой кампании стало применение стеганографии - техники сокрытия данных внутри изображений. Злоумышленники размещают второй этап PowerShell-скрипта и зашифрованные исполняемые нагрузки в JPEG-файлах, которые выглядят как безобидные изображения. Это значительно усложняет обнаружение угрозы традиционными средствами защиты.
Многоэтапная цепочка заражения начинается с высокообфусцированной PowerShell-команды, которая фрагментирована и закодирована для обхода систем обнаружения. Последующие этапы включают декодирование, распаковку и выполнение дополнительных нагрузок с использованием переменных, кодирования Base64 и зашифрованных URL-адресов.
Финальная нагрузка доставляет инфостилер StealC, написанный на Go, который проверяет окружение на наличие виртуальных машин и использует шифрование строк. StealC нацелен на извлечение данных из браузеров, криптовалютных кошельков, мессенджеров и облачных сервисов, а также способен загружать дополнительное вредоносное ПО.
За последние две недели исследователи отметили быстрое развитие атаки с появлением множества вариантов нагрузок и методов доставки. Растущее количество обнаружений, связанных с кампанией, свидетельствует об её активизации. Инфраструктура атаки и многоязычная поддержка указывают на стратегию глобального таргетирования с предполагаемыми жертвами в различных странах.
Для защиты от подобных атак специалисты по безопасности рекомендуют усилить обучение пользователей, включив в программы подготовки информацию о *Fix-атаках и рисках выполнения непроверенных команд. Также следует блокировать выполнение PowerShell, CMD и других скриптов, запускаемых как дочерние процессы веб-браузеров, что предотвратит успешное выполнение подобных атак без существенного нарушения бизнес-процессов.
Обнаруженная кампания демонстрирует, как быстро техники из доказательств концепции превращаются в реальные угрозы, и подчеркивает важность постоянного мониторинга новых векторов атак для своевременного принятия защитных мер.
* Организация Meta, а также её продукт Facebook, на который мы ссылаемся в этой статье, признаны экстремистскими на территории РФ.
Индикаторы компрометации
