„Microsoft“ pastebėjo, kad padaugėjo atakų naudojant ACR Stealer kenkėjišką programinę įrangą, skirtą pavogti naršyklėje saugomus slaptažodžius, autentifikavimo prieigos raktus ir slaptus dokumentus iš savo įmonės klientų.
Nuo balandžio pabaigos iki birželio vidurio grėsmės veikėjai naudojo „ClickFix“ socialinės inžinerijos metodą, „WebDAV“ serverius ir MSHTA („Microsoft HTML Application Host“) priemonę, kad atliktų informacijos vagystę.
ACR Stealer yra kenkėjiškų programų kaip paslaugos (MaaS) operacija, kuri, kaip manoma, yra kenkėjiškų programų Amatera Stealer prekės ženklo keitimas.
Nors yra keli kenkėjiškų programų pristatymo būdai, „Microsoft“ pabrėžia dvi įsibrovimo grandines kaip labiausiai paplitusias ACR Stealer.
Pirmoji kampanija pradedama naudojant „ClickFix“ jauką, kuri vykdo komandą paleisti kenkėjišką DLL iš nuotolinio WebDAV bendro naudojimo naudojant rundll32.exe.
Grėsmės veikėjai, piktnaudžiaujantys WebDAV, yra įprasta taktika, kuri buvo pastebėta ankstesnėse atakose, perkeliant kenkėjiškas programas „Bumblebee“ ir „Voldemort“.
Šios savaitės ataskaitoje „Microsoft“ teigia, kad grėsmės veikėjas paprastai naudoja GUID pagrįstą katalogų struktūrą ir failų pavadinimus WebDAV kelyje, kad imituotų teisėtus išteklius (pvz., google.ct) ir sujungtų veiklą su numatomu tinklo srautu.
Užmezgus ryšį su komandų ir valdymo (C2) infrastruktūra, vykdomas „labai užmaskuotas PowerShell scenarijus“, kad būtų paleista kenkėjiškų programų diegimo programa ir užtikrintas patvarumas.
Įprasta įdiegia susietą „Python“ įkroviklį, sukuria suplanuotą užduotį, užmaskuotą kaip programinės įrangos naujinimas, manipuliuoja laiko žymomis, išvalo „PowerShell“ istoriją ir įterpia galutinę naudingąją apkrovą į sistemos procesą, kad būtų galima vykdyti atmintyje.
Kai kurie variantai naudoja viešąsias „blockchain“ paslaugas kaip „dead-drop“ sprendimus, kad gautų atnaujintas naudingojo krovinio vietas arba C2 adresus. Tai populiari technika, dar žinoma kaip „Ether Hiding“.
Antroje pristatymo grandinėje grėsmės veikėjas naudoja „ClickFix“, kad paleistų MSHTA, kuri nuskaito kenkėjišką turinį iš užpuoliko serverio ir vykdo užtemdytą „PowerShell“ atsisiuntimo programą.
Tada kenkėjiška programa ištraukia užšifruotą naudingą apkrovą, paslėptą viešai priglobtame steganografiniame JPEG vaizde, ir vykdo ją tiesiogiai atmintyje.
Nepaisant skirtumų, tikslas išlieka pavogti neskelbtinus duomenis:
- Pavogti žiniatinklio naršyklėse saugomus slaptažodžius, slapukus, seanso duomenis ir autentifikavimo prieigos raktus
- Iššifruokite naršyklės duomenis naudodami „Windows“ duomenų apsaugos API DPAPI
- Pasiekite „Chromium“ naršyklių duomenų bazes naudodami „Chrome“ ir „Edge“
- Ieškokite PDF ir „Microsoft 365“ dokumentų
- Surinkite failus iš darbalaukio ir atsisiuntimų aplankų
- Taikykite į įmonės sinchronizuotus „OneDrive“ ir „SharePoint“ katalogus
Visi duomenys surenkami ir archyvuojami, kad juos būtų galima perduoti užpuolikui.
„Šios dvi kampanijos yra vienos iš labiausiai paplitusių ACR Stealer pristatymo kampanijų, kurias pastebėjo „Defender Experts“, tačiau jos neatspindi visų šios kenkėjiškų programų šeimos naudojamų pristatymo būdų“, – įspėja „Microsoft“ ir pažymi, kad labai tikėtina, kad bus papildomų vykdymo grandinių.
Kaip bendrą apsaugos nuo ClickFix atakų taisyklę, naudotojai turėtų vengti kopijuoti ir vykdyti instrukcijas komandų interpretatoriuose, ypač kai tvirtina, kad ištaiso klaidą arba patikrina, ar tai žmogus.
„Microsoft“ rekomenduoja organizacijoms sumažinti žiniatinklio pristatymo grandinių poveikį, taikant filtrus, blokuojant žemos reputacijos ar naujus domenus ir apribojant prieigą prie internetinių išteklių, kurie nėra būtini verslo operacijoms.
Programos valdymo taisyklės gali apriboti turinio paleidimą iš nuotolinio šaltinio naudojant tokius įrankius kaip PowerShell, Python, mshta.exe arba rundll32.exe, ypač iš vartotojo įrašomų kelių.
„Microsoft“ ataskaitoje pateikiamas didesnis rekomenduojamų švelninimo priemonių sąrašas ir kompromiso rodiklių rinkinys, būdingas stebimai ACR Stealer veiklai.
