Un instalator fals de Spotify care își ascunde instrucțiunile într-un blockchain
Instalatoarele sunt o țintă ușoară. Nimeni nu se uită la ele. Voiați Spotify, a apărut un fișier numit Spotify, ați dat dublu clic, iar Windows a afișat caseta obișnuită care întreabă dacă sunteți sigur.
Adversary Pursuit Group de la Blackpoint a publicat pe 18 septembrie analiza unui instrument de acces la distanță pe care l-a botezat ChainScript, găsit în timp ce demonta o campanie ClickFix. Lanțul începe cu una dintre acele pagini care vă cer să copiați ceva și să rulați, și se termină cu un instalator Windows pornit prin msiexec.exe. Până acum au ieșit la iveală patru variante. Două dintre ele, ComponentTask33 și UpdateDigital, se prezintă drept Spotify; HostShared se dă drept Zoom Workplace, iar OrchidViolet66 drept Microsoft Teams. Instalatorul lasă în tăcere un mediu Node.js și pornește un agent JavaScript în spatele unor etape ascunse de PowerShell și VBScript.
De acolo, operatorul are linie de comandă și o sesiune PowerShell pe calculatorul dumneavoastră, poate citi, scrie și șterge fișiere, poate face capturi ale desktopului, poate aduce noi module și poate rula orice JavaScript dorește în interiorul agentului. Caută și portofele de criptomonede, atât aplicații instalate, cât și extensii de browser. Partea care îi interesează cel mai mult pe cercetători este de unde își ia ordinele: în loc de o adresă scrisă direct în cod, ChainScript interoghează un contract inteligent de pe blockchainul Polygon ca să afle la ce server să se conecteze. Blocarea unui domeniu nu ajută cu nimic, fiindcă operatorii pot îndrepta contractul în altă parte, iar fiecare mașină infectată îi urmează.
Apărarea împotriva tuturor acestor lucruri stă chiar la primul pas. O pagină web care vă cere să lipiți o comandă în caseta Executare sau într-un terminal ca să dovediți că sunteți om, ca să reparați imaginea sau ca să încheiați o actualizare minte. De fiecare dată, fără excepție. Iar programele gratuite se iau de la firma care le face sau din Microsoft Store, nu din primul rezultat returnat de motorul de căutare. Verificarea actualizărilor de aplicații din Tendvane trece prin winget, așa că Spotify, Zoom și restul vin din pachetele lor oficiale, nu dintr-o descoperire întâmplătoare.