Site-uri compromise distribuie troianul LunexStealer prin verificări false Cloudflare

Cum acționează capcana Cloudflare și tehnica EtherHiding?

Potrivit CERT-UA, vizitatorii acestor site-uri compromise dau de o pagină de verificare falsă care mimează Cloudflare. Pagina pretinde că verifică utilizatorii umani și îi păcălește să ruleze o anumită comandă.

Executarea comenzii descarcă și instalează automat un pachet MSI malițios de pe un server la distanță, folosind tehnica ClickFix.

Atacatorii folosesc și metoda EtherHiding ca să-și ascundă sursele resurselor. Această tehnică preia numele de domeniu al paginii false și scriptul operațional direct dintr-un contract inteligent găzduit pe rețelele Ethereum sau Polygon.

Analiștii au descoperit că scriptul funcționează în trei moduri distincte. Modulul 0 rămâne inactiv, în timp ce Modulul 1 asigură urmărirea pasivă a vizitatorilor prin colectarea de date despre site-ul vizitat și pagina de trimitere. Modulul 2 declanșează afișarea paginii false de verificare. Această capcană vizează în special utilizatorii de Windows care ajung pe site prin motoarele de căutare, limitând frecvența la de două ori la fiecare douăsprezece ore.

Aceste momeli ClickFix facilitează distribuirea pachetelor MSI care conțin LunexStealer.

Ce ascund variantele de pachete MSI și manipularea DLL-urilor?

Cercetătorii au documentat cel puțin trei variante distincte ale acestei încărcături malițioase. Prima variantă se concentrează exclusiv pe instalarea LunexStealer pe sistemul compromis. A doua variantă este mult mai complexă și încearcă să ocolească Controlul Contului Utilizatorului din Windows, configurând în același timp excepții pentru Microsoft Defender.

Ea exploatează un driver AMD legitim, dar vulnerabil, numit PDFWKRNL. sys, pentru a orbi software-ul de securitate înainte de a aduce și rula LunexStealer de pe un server extern.

A treia variantă lansează LunexStealer prin manipularea DLL-urilor (sideloading). Folosește binarul legitim FnHotkeyUtility. exe pentru a încărca o bibliotecă DLL malițioasă numită spkvol. dll. Această componentă decriptează și execută ulterior programul de furt de date.

Investigațiile efectuate de Arctic Wolf Labs și Ontinue arată că LunexStealer instalează o extensie de browser malițioasă numită LUNARAXE.

Aceasta se deghizează în editor Microsoft Office Word pentru a fura cookie-uri, istoricul de navigare și credențiale introduse în formulare web. Mai mult, le oferă operatorilor control de la distanță asupra browserului și posibilitatea de a rula cod JavaScript arbitrar pe paginile vizitate.

O componentă auxiliară suplimentară, numită NAIVEMESS, se instalează pe baza configurațiilor primite de la centrul de comandă și control (C2). Rolul său principal este să acorde extensiei LUNARAXE acces la sistemul de fișiere Windows printr-o gazdă de mesagerie nativă bazată pe PowerShell.

Ce pot face extensia de browser și uneltele auxiliare?

CERT-UA menționează că NAIVEMESS poate lista discuri de stocare, naviga prin directoare, precum și citi, crea, suprascrie sau executa fișiere.

Transferurile de date au loc în bucăți codificate în Base64, iar grupurile de fișiere sau directoarele sunt arhivate preliminar în format ZIP.

Deși această componentă își menține propriul canal de comunicație cu serverul C2, ordinele vin direct prin intermediul extensiei, care adăpostește trei module suplimentare.

Modulul LUNARAXE. CORE administrează comunicarea cu serverul C2, recepționează și execută comenzi, extrăgând date din browser precum cookie-uri, istoric, semne de carte, detalii despre extensii și credențiale interceptate.

De asemenea, poate gestiona filele browserului, poate activa sau dezactiva extensii, poate afișa notificări, poate rula scripturi și poate plasa elemente grafice false peste paginile web.