МОСКВА, 6 июня. /ТАСС/. Хакеры в мае-июне атаковали порядка 30 российских компаний, используя сложную схему, которая начиналась с "писем с pdf-файлами от силовиков", включала в себя вектор с фейковой Captcha и заканчивалась кастомным трояном, который жертва по сути устанавливала сама. Об этом ТАСС сообщили в компании по управлению цифровыми рисками BI.ZONE.

Получив письмо и открыв файл, пользователь не мог прочитать текст внутри из-за сильной размытости, поэтому ему, чтобы получить доступ, предлагалось нажать на кнопку внутри и "подтвердить, что он не робот" через Captcha. Нажатие перемещало жертву на сайт хакеров, где снова надо было подтвердить, что он не робот, но на этот раз нажатие незаметно для пользователя копировало в буфер обмена вредоносный код.

Далее по схеме, рассказывают в BI.ZONE, требовалось убедить потенциальную жертву выполнить на ее устройстве еще ряд простых команд - с помощью них, в свою очередь, запускался скопированный вредоносный код. "По сути, жертву убеждают выполнить вредоносную команду самостоятельно", - поясняет суть этой техники, давно получившей название ClickFix, глава BI.ZONE Threat Intelligence Олег Скулкин.

После запуска кода с хакерского сервера скачивалась png-картинка с заложенным в нее многокомпонентным загрузчиком - тот содержал в себе как обычные, так и вредоносные файлы.

"В одном из них был скрыт исполняемый код, который в конечном счете запускал на устройстве пользователя еще одну вредоносную программу - ранее не классифицированный и не описанный никем из исследователей троян удаленного доступа", - предупредили исследователи, добавив, что за его разработку могут быть ответственны сами хакеры.

В BI.ZONE на основе полученных о трояне данных предполагают, что целью хакерских кампаний был шпионаж. Сам троян, по данным компании, отправлял хакерам базовую информацию о скомпрометированном устройстве (имя пользователя, права, версия операционки) и давал им возможность выполнять различные команды и запускать процессы.