В последние дни эксперты по кибербезопасности зафиксировали новую волну атак под названием "RolandSkimmer", нацеленную на хищение данных кредитных карт через вредоносные расширения для популярных браузеров, включая Chrome, Edge и Firefox. Эта кампания отличается сложной цепочкой заражения, включающей обманные LNK-файлы, скрытые скрипты и вредоносные расширения, которые маскируются под легитимные инструменты.
Описание
Атака начинается с распространения ZIP-архива, содержащего LNK-файл (ярлык), который при запуске выполняет скрытый скрипт. Этот скрипт перенаправляет жертву на сервер злоумышленников, где загружается и исполняется вредоносный код. После проникновения в систему злоумышленники проводят разведывательные действия, собирая данные о системе, проверяя наличие установленных браузеров и определенных папок. Это позволяет им адаптировать атаку под конкретную конфигурацию устройства.
Следующим этапом становится загрузка дополнительных файлов, включая конфигурации вредоносных расширений и скрипты. Эти файлы дешифруются и сохраняются на компьютере жертвы, после чего злоумышленники настраивают вредоносное расширение в одном из браузеров. Расширение играет ключевую роль в атаке, обеспечивая механизм сохранения в системе и последующую утечку данных.
Особую опасность представляет стратегия маскировки, которую используют злоумышленники. Вредоносное расширение притворяется инструментом для обхода защиты CSP (Content Security Policy) веб-сайтов, что может ввести в заблуждение даже опытных пользователей. При этом оно запрашивает широкие разрешения, включая возможность перехватывать и изменять сетевые запросы, управлять вкладками и манипулировать данными браузера. Такие права позволяют злоумышленникам перехватывать вводимые пользователем данные, включая номера кредитных карт, CVV-коды и другую конфиденциальную информацию.
По данным исследователей, основная цель атаки - пользователи из Болгарии, однако нельзя исключать, что кампания может распространиться и на другие страны. Учитывая сложность механизма заражения и использование социальной инженерии, "RolandSkimmer" представляет серьезную угрозу для безопасности финансовых данных.
Эксперты рекомендуют пользователям соблюдать осторожность при открытии вложений из непроверенных источников, регулярно обновлять браузеры и антивирусное ПО, а также проверять список установленных расширений на предмет подозрительных элементов. Кроме того, стоит ограничивать разрешения для расширений, отключая ненужные функции, особенно те, что связаны с доступом к личным данным и сетевой активности.
Киберпреступники постоянно совершенствуют свои методы, и атака "RolandSkimmer" - еще одно доказательство того, что даже продвинутые пользователи могут стать жертвами изощренных схем. Внимательность и соблюдение базовых правил кибергигиены остаются ключевыми мерами защиты от подобных угроз.
Индикаторы компрометации
