A hatalmas adathalász kampány hamis CAPTCHA-t használ a Lumma Stealer rosszindulatú programok terjesztésére

A kiberbűnözők egy új, nagyszabású adathalász kampánnyal erősítik játékukat, amely PDF-fájlokba ágyazott hamis CAPTCHA-képeken keresztül juttatja el a Lumma Stealer kártevőt. A Netskope Threat Labs szerint ez a kampány már több mint 7000 felhasználót veszélyeztetett 1150 szervezetben, főként Észak-Amerika, Ázsia és Dél-Európa technológiai, pénzügyi szolgáltatásai és gyártási szektorait célozva.

A kutatók 5000 rosszindulatú PDF-fájlt találtak 260 különböző domainen, amelyek közül sok a Webflow, a GoDaddy, a Strikingly, a Wix és a Fastly domainhez tartozik. A támadók SEO manipulációt használnak arra, hogy rávegyék az áldozatokat, hogy rákattintsanak ezekre a dokumentumokra a keresőmotorok találatai közül, és végül olyan webhelyekre irányítsák át őket, amelyek célja vagy hitelkártyaadatok ellopása, vagy rendszerük Lumma Stealer rosszindulatú programokkal való megfertőzése.

Hogyan működik a támadás

A támadók hamis CAPTCHA-képeket tartalmazó PDF-fájlokat terjesztenek. Azok az áldozatok, akik ezekre a CAPTCHA-kra kattintanak, rosszindulatú webhelyekre irányítják át őket, ahol érzékeny pénzügyi adatok megadására csalják őket, vagy egy PowerShell-alapú támadás révén megfertőzik őket rosszindulatú programmal.

A Lumma Stealer változat ebben a kampányban ClickFix technikával kerül bevezetésre, amely ráveszi a felhasználókat egy MSHTA parancs végrehajtására. Ez a parancs egy rejtett PowerShell-szkriptet futtat, amely letölti és telepíti a Lumma Stealer kártevőt az áldozat rendszerére.

A kampányban használt kulcsfontosságú taktikák

• Keresőoptimalizálási (SEO) mérgezés – A rosszindulatú PDF-fájlok online könyvtárakba és adattárakba, például PDFCOFFEE, PDF4PRO, PDFBean és Internet Archive feltöltésre kerülnek, így megjelennek a legális keresési eredmények között.
• Hamis CAPTCHA-ellenőrzés – Azok az áldozatok, akik a CAPTCHA-ra kattintva próbálják meg "ellenőrizni" magukat, és tudtukon kívül rosszindulatú parancsokat hajtanak végre.
• MSHTA és PowerShell Exploits – A támadás megkerüli a biztonsági védelmet megbízható Windows segédprogramok segítségével a rosszindulatú programok futtatására.
• Széles körben elterjedt tárhely-infrastruktúra – Az adathalász PDF-ek több száz tartományban vannak elterjedve, így az eltávolítási erőfeszítések nagyobb kihívást jelentenek.

Lumma-lopó: Feltörekvő veszélyes információlopó

A Lumma Stealer egy Malware-as-a-Service (MaaS) eszköz, amelyet arra terveztek, hogy érzékeny adatokat gyűjtsön be a feltört Windows-gépekről. Ellophatja a bejelentkezési adatokat, a böngésző cookie-kat, a titkosított pénztárcákat és egyéb értékes információkat.

A közelmúltban a Lumma üzemeltetői kibővítették képességeit a GhostSocks, egy Golang-alapú proxy-malware integrációjával. Ez lehetővé teszi a fenyegetés szereplői számára, hogy kihasználják az áldozatok internetkapcsolatait, hogy megkerüljék a földrajzi korlátozásokat, és kikerüljék az illetéktelen hozzáférést észlelő pénzügyi biztonsági intézkedéseket.

A Lumma-fertőzésekkel kapcsolatos ellopott hitelesítő adatokat és adatokat gyakran megosztják olyan földalatti fórumokon, mint a Leaky[.]pro, egy viszonylag új hackerpiac, amely 2024 decemberének végén jelent meg.

A ClickFix technikát kihasználó egyéb veszélyek

Nem a Lumma Stealer az egyetlen rosszindulatú program, amely kihasználja a ClickFix adathalász technikákat. A Zscaler ThreatLabz és az eSentire kutatói hasonló terjesztési taktikákat figyeltek meg:

• Vidar Stealer
• Atomic macOS Stealer (AMOS)
• DeepSeek AI Chatbot témájú rosszindulatú program

Ezenkívül a Juniper Threat Labs adathalász támadásokat észlelt, amelyek Unicode-féle homályos módszert alkalmaztak az észlelés elkerülése érdekében. Ezek a támadások bináris értékeket rejtenek el a hangul karaktereken belül (U+FFA0 és U+3164), ami megnehezíti a rosszindulatú JavaScript rakományok észlelését a biztonsági eszközök számára.

Hogyan védheti meg magát a Lumma Stealertől és a hasonló támadásoktól

Tekintettel a kampány kifinomultságára és mértékére, a szervezeteknek és egyéneknek azonnali lépéseket kell tenniük kiberbiztonsági védelmük fokozása érdekében.

• Ne kattintson a gyanús PDF-hivatkozásokra – Legyen óvatos, amikor PDF-eket tölt le a keresési eredményekből, e-mailek mellékleteiből vagy ismeretlen forrásokból.
• A CAPTCHA oldalak ellenőrzése – A jogos CAPTCHA-k nem igényelnek fájlok letöltését vagy szkriptek futtatását.
• Webflow és egyéb hosting szolgáltatások figyelése – A biztonsági csapatoknak nyomon kell követniük a domain rosszindulatú használatát, és jelenteniük kell a gyanús tartalmakat.
• A PowerShell és az MSHTA végrehajtás korlátozása – A csoportházirend-korlátozások alkalmazása megakadályozza, hogy a támadók visszaéljenek a Windows-eszközökkel rosszindulatú kód futtatására.
• Az alkalmazottak oktatása az adathalász technikákról – Tanítsa meg a személyzetet, hogy felismerjék a hamis CAPTCHA-kat, a SEO-alapú adathalászatot és más social engineering taktikákat.
• Fejlett fenyegetés elleni védelem telepítése – Végpontészlelési és válaszadási (EDR) megoldások segítségével észlelheti a PowerShell-visszaéléseket, a gyanús webes forgalmat és az információlopó rosszindulatú programokat.

Végső gondolatok

Ez az adathalász kampány rávilágít arra, hogyan fejlesztik a kiberbűnözők a Lumma Stealer és más rosszindulatú programok terjesztésére szolgáló technikáikat. A hamis CAPTCHA-k PDF-fájlokban történő használatával, a SEO-mérgezéssel és a fejlett elfedési módszerekkel a támadók sikeresen megkerülik a hagyományos biztonsági intézkedéseket.

Mivel a felhasználók ezrei már feltörtek, és a rosszindulatú programok terjesztési taktikái egyre bővülnek, a vállalkozásoknak ébernek kell maradniuk, oktatniuk kell az alkalmazottakat, és szigorú biztonsági intézkedéseket kell bevezetniük a fejlődő fenyegetésekkel szemben.