Ekspertët e sigurisë kibernetike në Acronis kanë zbuluar një fushatë të re të sofistikuar sulmesh, të quajtur JackFix, e cila kombinon metodologjitë e mashtrimit ClickFix me faqe pornografike të falsifikuara për të manipuluar përdoruesit të ekzekutojnë komanda të rrezikshme në Windows.
Sipas raportit, sulmuesit krijojnë versione të rreme të uebfaqeve të njohura pornografike si PornHub dhe xHamster, ku viktimat drejtohen përmes reklamave të malicioze. Përmbajtja pornografike përdoret si presion psikologjik: përdoruesit, duke u ndier të ekspozuar në një situatë të sikletshme, kanë më shumë gjasa të ndjekin instruksionet që shfaqen në ekran.
Si funksionon mashtrimi JackFix
Kjo fushatë shfaq një dritare të madhe që imiton një Windows Update urgjent, duke i kërkuar përdoruesit të hapin dialogun Windows Run dhe të shtypin “Ctrl + V” ndjekur nga Enter. Kjo komando nis zinxhirin e infeksionit.
Në realitet, faqa nuk është pjesë e Windows-it. Ajo është vetëm një kombinim HTML + JavaScript në shfletues, duke tentuar të bllokojë funksione si Escape, F11, F5 dhe F12 për ta mbajtur përdoruesin të bllokuar në mënyrën e ekranit të plotë. Megjithatë, Escape, sipas Acronis, vazhdon të funksionojë.
Pjesa teknike e sulmit
-
MSHTA Payload – Komanda e parë ekzekutohet nëpërmjet mshta.exe, e cila ngarkon JavaScript që më pas nis PowerShell.
-
Domenë të maskuara – Serverët malicioz reagojnë vetëm kur pyeten përmes irm/iwr PowerShell, duke shtuar një shtresë tjetër të fshehjes.
-
Eskalimi i privilegjeve – PowerShell i shkarkuar tenton agresivisht të marrë privilegje më të larta.
-
Instalimi i malware-it – Pasi arrihet kontrolli, instalohen programe për vjedhje të të dhënave si:
-
Rhadamanthys Stealer
-
Vidar Stealer 2.0
-
RedLine Stealer
-
Amadey
-
dhe disa RAT e loader të tjerë malicioz.
-
Acronis e përshkruan këtë si një nga shembujt më të rrezikshëm të qasjes “spray and pray”, ku sulmi synon një masë të gjerë njerëzish me shpresën se të paktën një prej tyre do të ekzekutojë komandat.
Nëse bie pre e sulmit, viktima rrezikon humbjen e fjalëkalimeve, kriptomonedhave, të dhënave të shfletuesit, ndërsa në rast të aktivizimit të një RAT, sulmuesit mund të marrin kontroll të plotë të sistemit.
