Microsoft upozorio na ClickFix prevaru koja zloupotrebljava Booking[.]com

Vesti, 14.03.2025, 10:00 AM

Sofisticirana phishing kampanja „ClickFix“ lažno predstavlja Booking.com kako bi se ugostiteljske firme zarazile malverima za krađu informacija, koji napadačima omogućavaju finansijske prevare i krađu.

Kampanju, koja je počela u decembru 2024. godine, Microsoft Threat Intelligence je pripisao grupi poznatoj kao Storm-1865.

Napadači koriste tehniku društvenog inženjeringa pod nazivom ClickFix ciljajući zaposlene u ugostiteljskim firmama u Severnoj Americi, Okeaniji, Južnoj i Jugoistočnoj Aziji i Evropi, koje verovatno rade sa Booking.com, najpoznatijom onlajn turističkom agencijom.

Hakeri koriste lažne poruke o grešci koje upućuju korisnike da reše probleme kopiranjem, lepljenjem i pokretanjem komandi koje na kraju rezultiraju preuzimanjem malvera. Ova tehnika omogućava zaobilaženje konvencionalnih i automatizovanih bezbednosnih funkcija i infekciju uređaja žrtve.

Napadači računaju na želju korisnika da sami reše probleme umesto da upozore IT tim ili bilo koga drugog.

Hakeri koriste više malvera koji imaju mogućnosti da ukradu finansijske podatke i lozinke, kao što su XWorm, Lumma stealer, VenomRAT, AsyncRAT, Danabot i NetSupport RAT.

Microsoft je rekao da je ova taktika viđena u ranijim kampanjama grupe Storm-1865, uključujući i one kada su ciljevi napada bili gosti hotela kojima su se napadači lažno predstavljali kao Booking.com.

Storm-1865 počinje napad slanjem imejla u ime Booking.com ciljanoj osobi. Sadržaj poruka značajno varira, od negativnih recenzija gostiju ili zahteva potencijalnih gostiju do verifikacije naloga zbog promocije na mreži.

U imejlovima se od primalaca zahteva da preduzmu određene radnje kako bi se rešio navodni problem ili upit. Oni sadrže link ili PDF fajl, za koji se tvrdi da vodi primaoce na Booking.com. Klik na link vodi žrtve na veb stranicu koja prikazuje lažni CAPTCHA izazov. Ovo polje je prekriveno suptilno vidljivom pozadinom dizajniranom da imitira legitimnu stranicu Booking.com, što žrtvi treba da stvori lažni osećaj sigurnosti.

Lažni CAPTCHA upućuje korisnika da koristi prečicu na tastaturi da otvori Windows Run prozor, a zatim nalepi i pokrene komandu koju veb stranica dodaje u clipboard. Komanda preuzima i pokreće malver preko fajla mshta.exe.

Ukradeni podaci za prijavu i druge osetljive informacije, uključujući finansijske podatke, se zatim eksfiltriraju preko komandnog i kontrolnog (C2) kanala. Ove informacije se mogu koristiti za naknadne napade, uključujući lažne finansijske transakcije.

Foto: Jas Rolyn | Unsplash