В последнее время участились случаи использования изощренных схем для распространения вредоносного ПО, основанных на социальной инженерии. Одна из таких схем заставляет пользователей копировать и запускать PowerShell-скрипты, маскируясь под проверку CAPTCHA или легитимные сервисы вроде Gitcodes и DocuSign. В результате жертвы непреднамеренно устанавливают на свои компьютеры NetSupport RAT - троянец удаленного доступа, позволяющий злоумышленникам контролировать зараженные системы.
Описание
Атака начинается с фишинговых сайтов, имитирующих популярные сервисы. Например, пользователю предлагают подтвердить свою человечность, нажав на фальшивую галочку CAPTCHA. После этого в буфер обмена автоматически копируется вредоносный PowerShell-скрипт, который жертве предлагается вставить в командную строку Windows (Win+R). Запуск этого скрипта инициирует цепочку загрузок: сначала скачивается второй этап вредоносного кода, затем третий, и в итоге на компьютер устанавливается NetSupport RAT.
Особенность этой схемы - многоступенчатость. Каждый новый скрипт загружается с разных доменов, что усложняет обнаружение антивирусами. Кроме того, злоумышленники используют легитимные сервисы, такие как GitHub и Discord, для хранения промежуточных вредоносных файлов. Например, в одном из случаев скрипт обращался к GitHub для загрузки файла "wbdims.exe", который затем прописывался в автозагрузку Windows.
Анализ инфраструктуры показал, что злоумышленники активно используют домены, зарегистрированные через Cloudflare, NameCheap и NameSilo, а также применяют методы обфускации, такие как ROT13-кодирование, чтобы скрыть вредоносный код от систем защиты.
Эксперты DomainTools отмечают, что подобные атаки становятся все более изощренными и требуют от пользователей повышенной бдительности. Чтобы избежать заражения, рекомендуется не копировать и не запускать подозрительные скрипты, даже если они предлагаются на, казалось бы, доверенных сайтах. Также важно использовать актуальные антивирусные решения и двухфакторную аутентификацию для защиты учетных записей.
Индикаторы компрометации
