В последние дни хакеры начали активно использовать новость о помиловании Росса Ульбрихта, основателя даркнет-маркетплейса Silk Road, чтобы заманивать пользователей в вредоносный Telegram-канал. Специалисты по кибербезопасности из VX-underground первыми заметили эту атаку, которая относится к типу ClickFix. В рамках этой схемы жертв обманом заставляют запускать вредоносный PowerShell-код, вручную заражая свои устройства.
Злоумышленники скрываются за фальшивыми учетными записями в соцсети X (ранее Twitter), выдавая себя за движение Free Ross. Они направляют пользователей в якобы официальные Telegram-каналы, где они предлагают пройти проверку через фальшивую CAPTCHA. Таким образом, жертвы оказываются втянутыми в атаку, даже не подозревая об этом.
При переходе по предложенной ссылке пользователи обнаруживают сообщение о необходимости пройти проверку с помощью инструмента под названием Safeguard Captcha. После этого на экране появляется мини-приложение, которое автоматически копирует вредоносную PowerShell-команду в буфер обмена и подстраивает окно для выполнения команд. Если пользователь соглашается, он запускает код, который загружает ZIP-архив с подозрительного сайта openline[.]cyou. Этот архив содержит файл identity-helper.exe, который, судя по анализу на VirusTotal, является загрузчиком популярного инструмента для удаленного доступа Cobalt Strike.
Обналичивание таких атак стало возможным благодаря легковерию пользователей и их недостаточной осведомленности. Важно отметить, что атака, выявленная VX-underground, представляет собой новый вариант тактики ClickFix, которая уже некоторое время наблюдается в различных формах. Атаки с использованием CAPTCHA обеспечивают дополнительный уровень маскировки, делая их более опасными.
Специалисты по кибербезопасности напоминают пользователям о необходимости быть осторожными и не запускать команды, скопированные из интернета, в терминале PowerShell или диалоговом окне Windows Run. Обфускация кода и неожиданные запросы должны вызывать подозрение. Кроме того, безопасность учетных записей в Telegram можно повысить с помощью двухфакторной аутентификации и проверки QR-кодов, перед тем как сканировать их.
Ранее эксперты уже предупреждали о том, что мошенники могут использовать QR-коды для получения доступа к учетным записям пользователей. Эта новейшая атака демонстрирует, как злоумышленники используют актуальные события для своих целей, подчеркивая важность осведомленности пользователей в вопросах кибербезопасности.