Usunięcie tego szkodnika go nie usuwa. Wprowadził się do Chrome.

Większość złośliwego oprogramowania chce przetrwać restart. To chce przetrwać własne usunięcie. Badacze z Ontinue opublikowali analizę platformy kradnącej dane o nazwie Lunex, a najbardziej uderza miejsce, w którym się ona rozkłada: zarejestrowana w Chrome jako natywny host wiadomości, pod nazwą com.lunex.explorer, z możliwością odczytu i zapisu plików oraz uruchamiania poleceń. Można skasować program, który ją zainstalował, a ten kanał nadal tam będzie.

Wejście wygląda znajomo. Zhakowana strona pokazuje coś, co przypomina weryfikację Cloudflare, i każe skopiować polecenie oraz je uruchomić. O tej samej sztuczce pisaliśmy, gdy pojawiła się na domenie używanej w tysiącu przykładów kodu. Polecenie pobiera instalator, który po cichu omija pytanie o uprawnienia w Windows, a potem robi coś sprytniejszego niż wyłączenie antywirusa. Ładuje prawdziwy, poprawnie podpisany sterownik zasilania AMD ze znaną luką i za jego pomocą kasuje powiadomienia jądra, na których opiera się nawet dwadzieścia programów zabezpieczających. Wszystko nadal wygląda na działające. Po prostu nikt już nic im nie mówi.

Potem opróżnia szuflady: zapisane hasła i pliki cookie sesji z siedmiu przeglądarek opartych na Chromium, w tym Chrome, Edge, Brave, Opery i Vivaldi, a do tego portfele kryptowalut na dysku i w postaci rozszerzeń.

Jedyny element, który zależy od was, to kopiuj i wklej. Żadna uczciwa strona nigdy nie prosiła o wklejenie polecenia w okno Uruchom, żeby udowodnić, że jest się człowiekiem, i ta jedna zasada przerywa cały łańcuch. Jeśli podejrzewacie, że jednak to zrobiliście, przyjmijcie, że ciasteczka też wyciekły: zmiana haseł sama w sobie nie wystarczy, trzeba wylogować wszystkie sesje na ważnych kontach. Tendvane nie jest antywirusem i nie wyczyści infekcji, ale jego kontrola bezpieczeństwa wypisuje dodatki do przeglądarki i programy startujące z systemem, czyli dokładnie te miejsca, w których takie rzeczy lubią się zadomowić.