Mã được tiêm hoạt động như một trình tải theo giai đoạn (staged loader) với nhiều lớp né tránh và nhắm mục tiêu . Thay vì thả mã độc ngay lập tức, nó đầu tiên thực hiện các kiểm tra môi trường để tránh bị phát hiện và đảm bảo nạn nhân là mục tiêu phù hợp:
<script> mới vào trang để tải các payload tiếp theo ClickFix là một kỹ thuật kỹ thuật xã hội, nơi một tập lệnh độc hại sao chép một lệnh vào clipboard của người dùng, sau đó hiển thị hướng dẫn yêu cầu họ dán và chạy lệnh đó — thường là bằng cách nhấn Win + R, dán và nhấn Enter. Lệnh được ngụy trang như một bước xác minh. Trong cuộc tấn công này, mồi nhử ClickFix được nhúng vào một trang CAPTCHA giả do widget bị xâm phạm tạo ra . Nếu người dùng làm theo hướng dẫn, lệnh đã dán sẽ kích hoạt một tập lệnh PowerShell hoặc một tệp HTML Application (HTA), sau đó tải xuống và cài đặt mã độc
.
SmartApeSG không phải là một tác nhân mới. Nhóm này có lịch sử được ghi nhận về việc thực hiện các chiến dịch kiểu ClickFix kể từ giữa năm 2024, phân phối NetSupport RAT, Remcos RAT, StealC và Sectop RAT qua nhiều chiến dịch trước đó . Các chiến dịch trước đây đã sử dụng các trang web bị xâm phạm với các trang CAPTCHA giả để lừa người dùng dán và thực thi các lệnh độc hại thông qua hộp thoại Run của Windows
. Nhóm này cũng đã được quan sát thấy triển khai trình đánh cắp thông tin DeerStealer trong các biến thể ClickFix trước đó
. Cuộc tấn công Okendo đánh dấu một sự leo thang: thay vì lây nhiễm các trang web riêng lẻ, SmartApeSG đã xâm phạm một widget của bên thứ ba được sử dụng rộng rãi để tiếp cận hàng nghìn trang web cùng một lúc — một bộ khuếch đại chuỗi cung ứng cổ điển
.
JS.Injection.SmartApeSG để theo dõi và chặn hoạt động tiêm nhiễm hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]jsapi[.]wigetticks[.]com và api[.]wizzleticks[.]com
Comments
0 comments