Цепочка атак начинается с вредоносной строки скрипта, внедряемой на легитимные, но взломанные сайты.
Описание
- Инжектированный скрипт ведет на фальшивую страницу «Проверьте, что вы человек» (CAPTCHA).
- Поддельная страница CAPTCHA внедряет скрипт в буфер обмена потенциальной жертвы.
- Этот процесс иногда называют «захватом буфера обмена» или «pastejacking».
- Поддельная страница CAPTCHA содержит инструкции.
- Эта активность отслеживается как #KongTuke такими источниками, как @monitorsg на Mastodon и Threatfox
- Пост-инфекционный трафик похож на то, что Palo Alto уже видели ранее от Async RAT.
- Однако окончательно вредоносная программа остается неопознанной.
Indicators of Compromise
