Didžiulė sukčiavimo kampanija naudoja netikrus CAPTCHA, kad platintų „Lumma Stealer“ kenkėjišką programą

Kibernetiniai nusikaltėliai stiprina savo žaidimą su nauja didelio masto sukčiavimo kampanija, kuri pateikia Lumma Stealer kenkėjišką programą per netikrus CAPTCHA vaizdus, įterptus į PDF failus. „Netskope Threat Labs“ duomenimis, ši kampanija jau paveikė daugiau nei 7 000 vartotojų iš 1 150 organizacijų, daugiausia orientuota į technologijų, finansinių paslaugų ir gamybos sektorius Šiaurės Amerikoje, Azijoje ir Pietų Europoje.

Tyrėjai rado 5000 kenkėjiškų PDF failų, esančių 260 skirtingų domenų, daugelis iš kurių priklauso Webflow, GoDaddy, Strikingly, Wix ir Fastly. Užpuolikai naudoja SEO manipuliavimą, norėdami apgauti aukas, kad jos spustelėtų šiuos dokumentus paieškos sistemos rezultatuose ir galiausiai nukreiptų jas į svetaines, skirtas pavogti kredito kortelės duomenis arba užkrėsti jų sistemas kenkėjiška programa „Lumma Stealer“.

Kaip veikia ataka

Užpuolikai platina PDF failus, kuriuose yra netikrų CAPTCHA vaizdų. Aukos, spustelėjusios šias CAPTCHA, yra nukreipiamos į kenkėjiškas svetaines, kuriose jos yra apgaudinėjamos įvesti neskelbtiną finansinę informaciją arba yra užkrėstos kenkėjiška programa per „PowerShell“ ataką.

Šios kampanijos „Lumma Stealer“ variantas įdiegtas naudojant ClickFix techniką, kuri priverčia vartotojus vykdyti MSHTA komandą. Ši komanda paleidžia paslėptą PowerShell scenarijų, kuris atsisiunčia ir įdiegia Lumma Stealer kenkėjišką programą aukos sistemoje.

Pagrindinės šioje kampanijoje naudojamos taktikos

• Paieškos variklio optimizavimo (SEO) apsinuodijimas – kenkėjiški PDF failai įkeliami į internetines bibliotekas ir saugyklas, tokias kaip PDFCOFFEE, PDF4PRO, PDFBean ir Internet Archive, todėl jie rodomi teisėtuose paieškos rezultatuose.
• Netikras CAPTCHA patvirtinimas – aukos, kurios bando „patvirtinti“ save spustelėdami CAPTCHA, nesąmoningai vykdo kenkėjiškas komandas.
• MSHTA ir „PowerShell“ išnaudojimai – ataka apeina apsaugos priemones, naudodamas patikimas „Windows“ priemones, skirtas paleisti kenkėjiškas programas.
• Plačiai paplitusi prieglobos infrastruktūra – sukčiavimo PDF failai yra pasklidę šimtuose domenų , todėl panaikinimo pastangos tampa sudėtingesnės.

Lumma Stealer: kylantis pavojingas informacijos vagystė

„Lumma Stealer“ yra kenkėjiškų programų kaip paslaugos (MaaS) įrankis, skirtas slaptiems duomenims iš pažeistų „Windows“ įrenginių surinkti. Jis gali pavogti prisijungimo duomenis, naršyklės slapukus, kriptovaliutų pinigines ir kitą vertingą informaciją.

Neseniai „Lumma“ operatoriai išplėtė jos galimybes integruodami su „GhostSocks“, „Golang“ pagrindu veikiančia tarpinio serverio kenkėjiška programa. Tai leidžia grėsmės subjektams panaudoti aukų interneto ryšius, kad apeitų geografinius apribojimus ir išvengtų finansinio saugumo priemonių, kurios aptinka neteisėtą prieigą.

Pavogti kredencialai ir Lumma infekcijų duomenys dažnai dalijami pogrindiniuose forumuose, tokiuose kaip Leaky[.]pro, palyginti nauja įsilaužimo rinka, atsiradusi 2024 m. gruodžio pabaigoje.

Kitos „ClickFix“ technikos panaudojimo grėsmės

„Lumma Stealer“ nėra vienintelė kenkėjiška programa, naudojanti „ClickFix“ sukčiavimo metodus. Tyrėjai iš Zscaler ThreatLabz ir eSentire pastebėjo panašią platinimo taktiką:

• Vidar Stealer
• „Atomic MacOS Stealer“ (AMOS)
• DeepSeek AI Chatbot temos kenkėjiška programa

Be to, „Juniper Threat Labs“ pastebėjo sukčiavimo atakas naudodama „Unicode“ užmaskavimo metodus, kad išvengtų aptikimo. Šios atakos slepia dvejetaines Hangul simbolių vertes (U+FFA0 ir U+3164), todėl saugos įrankiams sunkiau aptikti kenkėjiškas „JavaScript“ apkrovas.

Kaip apsisaugoti nuo Lumma Stealer ir panašių išpuolių

Atsižvelgiant į šios kampanijos sudėtingumą ir mastą, organizacijos ir asmenys turėtų nedelsiant imtis veiksmų, kad sustiprintų savo kibernetinio saugumo apsaugą.

• Venkite spustelėti įtartinas PDF nuorodas – būkite atsargūs atsisiųsdami PDF failus iš paieškos rezultatų, el. pašto priedų ar nežinomų šaltinių.
• Patikrinkite CAPTCHA puslapius – teisėtiems CAPTCHA nereikia atsisiųsti failų ar paleisti scenarijų.
• Stebėkite žiniatinklio srautą ir kitas prieglobos paslaugas – saugos komandos turėtų stebėti piktybinį savo domenų naudojimą ir pranešti apie įtartiną turinį.
• Apriboti „PowerShell“ ir MSHTA vykdymą – įdiekite grupės strategijos apribojimus, kad užpuolikai negalėtų piktnaudžiauti „Windows“ įrankiais paleisti kenkėjišką kodą.
• Mokykite darbuotojus apie sukčiavimo metodus – išmokykite darbuotojus atpažinti netikras CAPTCHA, SEO pagrįstą sukčiavimą ir kitas socialinės inžinerijos taktikas.
• Įdiekite išplėstinę apsaugą nuo grėsmių – naudokite galinių taškų aptikimo ir atsako (EDR) sprendimus, kad aptiktumėte „PowerShell“ piktnaudžiavimą, įtartiną žiniatinklio srautą ir informacijos vagysčių kenkėjiškų programų veiklą.

Paskutinės mintys

Ši sukčiavimo kampanija pabrėžia, kaip kibernetiniai nusikaltėliai tobulina savo „Lumma Stealer“ ir kitų kenkėjiškų programų platinimo būdus. Naudodami netikras CAPTCHA PDF rinkmenose, SEO užnuodijimą ir pažangius užmaskavimo metodus, užpuolikai sėkmingai apeina tradicines saugos priemones.

Tūkstančiams vartotojų jau pažeidžiant ir plečiant kenkėjiškų programų platinimo taktiką, įmonės turi išlikti budrios, šviesti darbuotojus ir įgyvendinti stiprias saugumo priemones, kad apsisaugotų nuo šių besivystančių grėsmių.