Trend Research выявила новую схему социальной инженерии в TikTok, где злоумышленники заманивают пользователей в ловушку с помощью видео, предлагающих «взломанные» версии софта. Вместо ожидаемого ПО жертвы получают инфостилеры Vidar и StealC, которые крадут конфиденциальные данные.
Описание
Как работает атака?
Видео, вероятно, созданные с помощью ИИ, содержат инструкции по «активации» программ вроде Windows, Microsoft Office или Spotify. Пользователям предлагают ввести команды в PowerShell, которые на самом деле загружают вредоносный скрипт.
Один из таких роликов набрал 500 000 просмотров и десятки тысяч лайков, что говорит о высокой вовлечённости аудитории. Аккаунты, распространяющие эти видео (например, @gitallowed, @allaivo2), уже заблокированы, но угроза сохраняется.
Техника заражения
После выполнения команды PowerShell скрипт:
- Создает скрытые папки в системных директориях.
- Добавляет их в исключения Windows Defender.
- Загружает вредоносный файл (Vidar или StealC) и запускает его с повышенными привилегиями.
- Устанавливает автозагрузку через реестр и удаляет следы.
Серверы управления (C&C) маскируются под легитимные ресурсы, такие как Steam и Telegram, что усложняет их обнаружение.
Риски для бизнеса и пользователей
Утечки данных, кража учетных записей и компрометация корпоративных систем — основные угрозы этой кампании. Традиционные методы защиты, такие как сканирование ссылок, здесь менее эффективны, поскольку атака основана на доверии к визуальному контенту.
Рекомендации по защите
- Обучать сотрудников распознавать социальную инженерию, включая видеоинструкции.
- Мониторить выполнение подозрительных команд (особенно в PowerShell).
Эксперты предупреждают: злоумышленники активно используют популярные платформы, и TikTok - лишь один из примеров. Будьте осторожны с любыми инструкциями, предлагающими «бесплатный» софт или взломанные версии программ.
Индикаторы компрометации
URLs
- http://91.92.46.70/1032c730725d1721.php
- https://116.202.6.216
- https://49.12.113.201
- https://allaivo.me/spotify
- https://amssh.co/file.exe
- https://amssh.co/script.ps1
- https://steamcommunity.com/profiles/76561199846773220
- https://t.me/v00rd
SHA256
- 3bb81c977bb34fadb3bdeac7e61193dd009725783fb2cf453e15ced70fc39e9b
- afc72f0d8f24657d0090566ebda910a3be89d4bdd68b029a99a19d146d63adc5
- b8d9821a478f1a377095867aeb2038c464cc59ed31a4c7413ff768f2e14d3886
