Операторы Trigram используют технику ClickFix для доставки стилера
Кампания Trigram нацелена на разработчиков и других пользователей из сфер искусственного интеллекта, блокчейна и логистики в Европе и Соединённых Штатах. Операторы имитируют около 50 брендов с помощью поддельных предложений о работе, приглашений на конференции и страниц отслеживания посылок. Приманки побуждают жертв отправить информацию и пройти «антиспам-проверку» по технике ClickFix: сайт предлагает скопировать и выполнить команду в терминале. JavaScript может подменить содержимое буфера обмена вредоносной командой и сообщать операторам о действиях жертвы.
Как устроена цепочка заражения
Сайты фильтруют посетителей по операционной системе и файлу cookie, который устанавливает сервер. Команды запускают скрипты для Windows, macOS или Linux. Скрипты загружают и запускают дополнительные компоненты, часто используя curl без проверки сертификатов TLS и отделяя выполнение от терминала.
Загрузчики декодируют скрипт второй стадии, готовят рабочую директорию и проверяют, установлен ли Node.js. Если его нет, загрузчик получает портативную версию. Затем он загружает и выполняет JavaScript-нагрузку install_guard.js. Она развёртывает стиллер, который собирает учётные данные браузеров, данные криптографических кошельков, файлы и системную информацию. Нагрузка также может установить агенты для сохранения доступа.
На macOS и Linux цепочка заражения может запросить системный пароль жертвы, чтобы получить доступ к сохранённым секретам и повысить привилегии при установке.
Инфраструктура и связь с UNK_DeadDrop
Инфраструктура кампании разделяет сайты-приманки, распространение полезной нагрузки, управление (C2) и инструменты операторов. Публичный репозиторий GitLab служит ретранслятором актуального адреса C2. Операторы могут менять серверы, не обновляя код на стороне жертвы.
По имеющимся данным, внутренняя платформа управления поддерживает сбор целей на основе GitHub, массовую отправку электронной почты, отслеживание взаимодействий и приоритизацию жертв. Операторы отправляют сообщения через нескольких провайдеров электронной почты, а также следят за доступностью сайтов-приманок и сессиями посетителей.
Исследователи с высокой степенью уверенности связывают Trigram с деятельностью UNK_DeadDrop, связанной с Северной Кореей. В качестве оснований они приводят пересечения в инфраструктуре, применяемых техниках и предположительно используемых компонентах полезной нагрузки. Кампания также ассоциируется с компрометацией репозитория antd-img-crop. Это демонстрирует возможность доставлять одну и ту же цепочку заражения через сайты с социальной инженерией и посредством атак на цепочку поставок программного обеспечения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
