Sofisticirana phishing kampanja "ClickFix" lažno predstavlja poznati sajt Booking.com kako bi se ugostiteljske firme zarazile malverima.
TEKST SE NASTAVLJA ISPOD OGLASA
Ovi malveri se koriste za krađu informacija, koji napadačima omogućavaju finansijske prevare i krađu.
TEKST SE NASTAVLJA ISPOD OGLASA
Kampanju, koja je počela u decembru 2024. godine, Microsoft Threat Intelligence je pripisao grupi poznatoj kao Storm-1865.
Napadači koriste tehniku društvenog inženjeringa pod nazivom ClickFix ciljajući zaposlene u ugostiteljskim firmama u Sjevernoj Americi, Okeaniji, Južnoj i Jugoistočnoj Aziji i Evropi, koje vjerovatno rade sa Booking.com, najpoznatijom onlajn turističkom agencijom.
TEKST SE NASTAVLJA ISPOD OGLASA
Hakeri koriste lažne poruke o grešci koje upućuju korisnike da riješe probleme kopiranjem, lijepljenjem i pokretanjem komandi koje na kraju rezultiraju preuzimanjem malvera. Ova tehnika omogućava zaobilaženje konvencionalnih i automatizovanih bezbjednosnih funkcija i infekciju uređaja žrtve.
Napadači računaju na želju korisnika da sami riješe probleme umjesto da upozore IT tim ili bilo koga drugog.
Hakeri koriste više malvera koji imaju mogućnosti da ukradu finansijske podatke i lozinke, kao što su XWorm, Lumma stealer, VenomRAT, AsyncRAT, Danabot i NetSupport RAT.
Microsoft je rekao da je ova taktika viđena u ranijim kampanjama grupe Storm-1865, uključujući i one kada su ciljevi napada bili gosti hotela kojima su se napadači lažno predstavljali kao Booking.com.
Storm-1865 počinje napad slanjem imejla u ime Booking.com ciljanoj osobi. Sadržaj poruka značajno varira, od negativnih recenzija gostiju ili zahtjeva potencijalnih gostiju do verifikacije naloga zbog promocije na mreži.
U imejlovima se od primalaca zahtijeva da preduzmu određene radnje kako bi se riješio navodni problem ili upit. Oni sadrže link ili PDF fajl, za koji se tvrdi da vodi primaoce na Booking.com.
Klik na link vodi žrtve na veb stranicu koja prikazuje lažni CAPTCHA izazov. Ovo polje je prekriveno suptilno vidljivom pozadinom dizajniranom da imitira legitimnu stranicu Booking.com, što žrtvi treba da stvori lažni osjećaj sigurnosti.
Lažni CAPTCHA upućuje korisnika da koristi prečicu na tastaturi da otvori Windows Run prozor, a zatim nalijepi i pokrene komandu koju veb stranica dodaje u clipboard. Komanda preuzima i pokreće malver preko fajla mshta.edže.
Ukradeni podaci za prijavu i druge osjetljive informacije, uključujući finansijske podatke, se zatim eksfiltriraju preko komandnog i kontrolnog (C2) kanala. Ove informacije se mogu koristiti za naknadne napade, uključujući lažne finansijske transakcije.
(B92, GS)
