Кампания Slaiclind обманывает пользователей, побуждая запускать вредоносные команды
Кампания Slaiclind объединяет техники EtherHiding и ClickFix. Исследователи выявили более 70 000 скомпрометированных сайтов, связанных с активностью EtherHiding. Около 95 % из них не связаны с блокчейном или криптовалютами, что, по оценке исследователей, указывает на вероятную компрометацию. Пользователей обманом побуждают скопировать и выполнить вредоносную команду PowerShell.
Внедрение кода через смарт-контракт
Кампания в основном нацелена на сайты на платформе WordPress. Вредоносный код не выполняется, когда открыта административная панель WordPress, что снижает вероятность его обнаружения владельцами сайтов.
Внедрённый JavaScript подключается к смарт-контракту Polygon по адресу 0xB29927B7D854B232D5E58CFC201866376E68C676 и вызывает функцию getPayload. В ответ контракт возвращает поле enabled и список URL-адресов для управления. Если функция включена, скрипт случайным образом выбирает один URL, добавляет к нему конечную точку JavaScript и внедряет полученный контент в браузер жертвы.
Злоумышленники могут включать и отключать кампанию с помощью функции setEnabled. В этой схеме блокчейн используется как хранилище полезной нагрузки и механизм аварийного отключения. Второй контракт, 0xB2A4EA7055B7E2A6B2D96502F0FF85024E72987B, содержит идентичный код на Solidity, однако его использование на скомпрометированных сайтах не наблюдалось.
Поддельная CAPTCHA и выполнение команд
Полученный скрипт показывает локализованную поддельную страницу CAPTCHA от Cloudflare. Эта приманка ClickFix убеждает пользователя скопировать и выполнить команду. Она помещает код PowerShell в буфер обмена и использует конструкцию irm, переданную через конвейер в iex, для загрузки и выполнения инструкций.
Скрипт устанавливает среду выполнения Deno с помощью winget, скрывает окно PowerShell и запускает JavaScript по адресу checkmybtrobot.cc/j/traffic?r=797a. Зависимость от winget приводит к провалу атаки на системах, где эта утилита недоступна.
Загрузка и запуск полезных нагрузок
Загрузчик Deno получает две полезные нагрузки. Для первого файла он проверяет размер и заголовок MZ, затем применяет технику Process Ghosting, чтобы создать и запустить процесс, файл которого удалён с диска. Вторую полезную нагрузку загрузчик внедряет в процесс explorer.exe.
Первый файл с MD5-хешем b97643bd45522efe9eea175d897787d3 считывает ключи реестра, чтобы получить системную информацию, и устанавливает соединение с IP-адресом 195.63.139.180 по TCP-порту 443 без TLS. Внедрённый закодированный шеллкод имеет MD5-хеш 41e66c27fc6202f332e8e0a33aa5f519.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
