Fałszywy instalator Spotify, który ukrywa swoje polecenia w blockchainie

Instalatory to łatwy cel. Nikt ich nie ogląda. Chcieliście Spotify, pojawił się plik nazwany Spotify, kliknęliście dwa razy, a Windows wyświetlił zwykłe okienko z pytaniem, czy na pewno.

Adversary Pursuit Group firmy Blackpoint opublikowała 18 września analizę narzędzia zdalnego dostępu, które nazwała ChainScript, znalezionego przy rozbieraniu kampanii ClickFix. Łańcuch zaczyna się od jednej z tych stron, które każą coś skopiować i uruchomić, a kończy instalatorem Windows odpalonym przez msiexec.exe. Na razie wypłynęły cztery warianty. Dwa z nich, ComponentTask33 i UpdateDigital, podają się za Spotify, HostShared udaje Zoom Workplace, a OrchidViolet66 Microsoft Teams. Instalator po cichu podkłada środowisko Node.js i uruchamia agenta JavaScript za ukrytymi etapami PowerShell i VBScript.

Od tej chwili operator ma na waszym komputerze wiersz poleceń i sesję PowerShell, może czytać, zapisywać i kasować pliki, robić zrzuty pulpitu, dosyłać kolejne ładunki i uruchamiać w agencie dowolny JavaScript. Szuka też portfeli kryptowalut, zarówno zainstalowanych programów, jak i rozszerzeń przeglądarki. Najciekawsze dla badaczy jest to, skąd bierze rozkazy: zamiast adresu wpisanego na stałe ChainScript odpytuje inteligentny kontrakt na blockchainie Polygon, żeby znaleźć serwer, z którym ma się połączyć. Zablokowanie jednej domeny nic nie daje, bo operatorzy mogą skierować kontrakt gdzie indziej, a każda zarażona maszyna pójdzie za nim.

Cała obrona mieści się w pierwszym kroku. Strona, która chce, żebyście wkleili polecenie w okienko Uruchom albo w terminal, aby udowodnić, że jesteście ludźmi, naprawić obraz czy dokończyć aktualizację, kłamie. Za każdym razem, bez wyjątku. A darmowe programy bierze się od firmy, która je robi, albo ze sklepu Microsoft Store, a nie z pierwszego wyniku wyszukiwarki. Sprawdzanie aktualizacji aplikacji w Tendvane działa przez winget, więc Spotify, Zoom i reszta pobierane są z oficjalnych pakietów, a nie z przypadkowego znaleziska.