🎩 Картинки с сюрпризом, которые запускают PowerShell скрипты

Исследователи из обнаружили новую волну атак с использованием техники ClickFix, которая заставляет пользователей собственноручно заражать свои машины. Жертва попадает на сайт с фейковой капчей (Я не робот) или очень убедительной имитацией экрана обновления Windows. Чтобы пройти проверку или исправить ошибку обновления, сайт просит нажать Win+R, а затем Ctrl+V и Enter. Скрипт сам копирует вредоносную команду в буфер обмена, а юзер просто исполняет роль мясного интерфейса для ввода 💩

После выполнения команды запускается цепочка PowerShell-скриптов, которая подгружает .NET-сборку. Но вместо того чтобы тупо скачать исполняемый файл, зловред использует стеганографию. Финальный пейлоад (обычно это инфостилеры LummaC2 или Rhadamanthys) спрятан прямо в пикселях обычных PNG-изображений. Вредоносный код закодирован в цветовых каналах (RGB) картинки. Специальный загрузчик считывает цвета пикселей, расшифровывает их на лету и собирает боевую нагрузку прямо в оперативной памяти, успешно обходя многие сигнатурные антивирусы, которые видят перед собой просто ПНГшку.

Интересен вариант с фейковым обновлением Windows. Сайт принудительно переводит браузер в полноэкранный режим и показывает знакомую синюю анимацию обновления. Когда процесс якобы прерывается ошибкой, пользователю предлагают быстрое решение через командную строку. Расчет идет на панику и привычку юзеров слепо следовать инструкциям.

Защититься от этого технически сложно, так как инициатором процесса выступает сам пользователь 🐒

Типичный 🥸 Сисадмин

Нет ничего более постоянного, чем "я сейчас быстренько соберу на картонке, проверю, работает ли, и сразу переставлю в нормальный корпус" 😬

Типичный 🥸 Сисадмин

Свеча горела на столе, свеча горела...
А потом догорела, расплавилась и стекла в ноутбук, пока хозяка была в АФК.

Типичный 🕯 Сисадмин