Фальшивые сборки GTA VI крали данные и устанавливали ScreenConnect

После распространения якобы подлинных игровых роликов из GTA VI в рамках утечки «Cyberleek» злоумышленники начали продвигать поддельные играбельные сборки. Для распространения использовались торрент-сайты, Telegram-каналы, веб-сайты и файлы ISO.

Вредоносные пакеты эксплуатировали интерес к утечке. Они содержали ПО для кражи информации, ориентированное на учетные данные игровых сервисов и платформ, а также обеспечивали удаленный доступ к устройствам.

Сбор данных через Telegram Bot API

Образцы, размещенные на доменах cyberleek[.]click и cyberleek[.]info, использовали инфраструктуру GoDaddy Website Builder и Cloudflare Turnstile для проверки посетителей. Информация о пользователях передавалась операторам через Telegram Bot API.

В состав собираемых данных входили:

• IP-адрес;
• геолокация;
• user agent;
• реферер;
• временная метка.

Для получения публичного IP-адреса сайты обращались к сервису api.ipify.org. Telegram-боты выполняли роль бессерверных точек сбора данных, а не выделенной backend-инфраструктуры.

Скрытая установка ScreenConnect

Запуск поддельного MSI-файла приводил к скрытой установке подписанного клиента удаленного доступа ScreenConnect. Клиент был настроен на подключение без вмешательства пользователя и устанавливал связь с ретранслятором, контролируемым злоумышленниками.

Вредоносная инфраструктура использовала адрес gg[.]noktaarts[.]com. Он указывает на IP-адрес 176.97.210.86 в Германии.

Установщик создавал каталог C:\Program Files (x86)ScreenConnect Client (e934a059a3e150c6). Его название позволило выявить идентификатор экземпляра ScreenConnect, который может применяться для обнаружения угроз и анализа инфраструктуры.

Связанный образец CyberLeekLuncherOpen.zip также обращался к тому же ретранслятору.

Связанная приманка в стиле DocuSign

Отдельная приманка имитировала страницу DocuSign и использовала ту же операционную схему, но другую инфраструктуру. В этом случае клиент ScreenConnect имел идентификатор экземпляра 3bd96abf95efe08e и передавался через instance-wq4wbt-relay.screenconnect.com и carperterloure.screenconnect.com.

Операторы применяли другой Telegram-бот, а сведения о посетителях собирали с помощью ipify. Связь между кампаниями проявлялась в поведении. В обоих случаях использовались профилирование посетителей, отчетность через Telegram и развертывание ScreenConnect. Общих доменов, ретрансляторов или экземпляров ботов обнаружено не было.

Дополнительные находки

Среди других связанных объектов обнаружили полезную нагрузку ScreenConnect, доставляемую через поддомены Cloudflare Worker, а также перенаправления со скомпрометированных сайтов WordPress.

Еще одна страница использовала typosquatting в доменном имени Microsoft и имитировала процесс проверки документов. Сценарий соответствовал фишингу по коду устройства, однако прямой связи этой страницы с цепочкой доставки Cyberleek не установлено.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.