Chroń się przed nowym atakiem FileFix, który nakłoni użytkowników systemu Windows do zainstalowania złośliwego oprogramowania StealC

Zaawansowana metoda ataku znana jako atak FileFix jest obecnie wymierzona w użytkowników systemu Windows, skutecznie nakłaniając ich do zainstalowania oprogramowania StealC Infostealer. Pojawiły się różne kampanie socjotechniczne wykorzystujące tę technikę do przeprowadzenia ataku. Niniejszy artykuł ma na celu wyjaśnienie mechanizmów ataku FileFix i przedstawienie strategii ochrony urządzeń.

Zrozumienie ataku FileFix: jak wdraża on złośliwe oprogramowanie StealC

Opierając się na poprzedniej iteracji, która omijała mechanizm Windows Mark of the Web (MoTW), obecny atak FileFix wykorzystuje luki w zabezpieczeniach systemu plików, aby pobrać złośliwy obraz, który aktywuje mechanizm StealC infostealer – analogiczny do EDDIESTEALER. Po uruchomieniu, metoda ta stwarza znaczne ryzyko, ponieważ działa w pamięci komputera, unikając wykrycia przez tradycyjne środki bezpieczeństwa.

Oto szczegółowy opis przebiegu ataku FileFix:

Ofiara zostaje wprowadzona w błąd na stronę phishingową, często podszywającą się pod powiadomienie o zawieszeniu konta na Facebooku. Użytkownicy są proszeni o skopiowanie określonej ścieżki do Eksploratora plików, aby rzekomo wyświetlić raport o incydencie. Jednak ścieżka ta ukrywa złośliwy kod, sprawiając, że wydaje się użytkownikowi autentyczna.

Fałszywe powiadomienie o zawieszeniu konta na Facebooku — Źródło obrazu: Acronis

Po uruchomieniu ataku uruchamiane jest polecenie programu PowerShell, które pobiera plik obrazu z osadzonym ukrytym skryptem.
Następnie program PowerShell dekoduje ukrytą zawartość, ładując złośliwe oprogramowanie StealC do pamięci systemu, nie pozostawiając śladów na dysku i praktycznie uniemożliwiając wykrycie. Ten konkretny kod wykradający informacje atakuje wrażliwe dane, takie jak pliki cookie przeglądarki, zapisane dane uwierzytelniające i informacje o portfelach kryptowalut.

Choć w ataku FileFix główny nacisk położono na infostealera StealC i strony phishingowe Facebooka, jego struktura jest na tyle uniwersalna, że można ją wykorzystać w różnych operacjach phishingowych mających na celu wdrażanie różnych odmian złośliwego oprogramowania.

Zachowaj ochronę przed atakiem FileFix

Pomimo podstępnego charakteru ataku FileFix, możesz podjąć działania proaktywne, aby zwiększyć swoje bezpieczeństwo. Poniżej znajdziesz praktyczne zalecenia, jak zabezpieczyć się przed tą złośliwą kampanią:

Unikaj kopiowania/wklejania poleceń: Unikaj kopiowania i wklejania ścieżek plików lub poleceń w jakiejkolwiek części systemu operacyjnego, w tym w menu Uruchom, CMD lub Eksploratorze plików. W miarę możliwości wpisuj polecenia ręcznie, aby zapobiec przypadkowemu uruchomieniu złośliwego kodu.
Zwiększ bezpieczeństwo programu PowerShell: Ponieważ wiele ataków wykorzystuje skrypty programu PowerShell, wzmocnij jego ustawienia zabezpieczeń, aby zapobiec uruchamianiu nieautoryzowanych skryptów. Zapoznaj się z kompletnym przewodnikiem dotyczącym zabezpieczania programu PowerShell.
Wybierz program antywirusowy ze skanowaniem pamięci: Wybierz rozwiązanie antywirusowe umożliwiające skanowanie pamięci w czasie rzeczywistym. Programy takie jak Bitdefender i ESET oferują zaawansowane funkcje skanowania pamięci.
Korzystaj ze standardowego konta użytkownika: Wykonuj codzienne zadania, korzystając ze standardowego konta użytkownika, a nie z konta administratora. To drugie jest bowiem bardziej podatne na ataki złośliwego oprogramowania wymagające podwyższonych uprawnień.

Kroki, które należy podjąć, jeśli wykonano złośliwe polecenie

Jeśli podejrzewasz, że Twoje urządzenie zostało zainfekowane atakiem FileFix, natychmiastowe działanie jest kluczowe. Postępuj systematycznie zgodnie z poniższymi krokami, aby chronić swój komputer i konta:

Odłącz się od internetu: Natychmiastowe odłączenie się od sieci pomaga zapobiec przesyłaniu skradzionych danych przez osobę kradnącą dane do serwera dowodzenia i kontroli (C2).Szybkie działanie zwiększy Twoje szanse na ograniczenie szkód.
Zmień hasła: Używając innego, bezpiecznego urządzenia, zmień hasła do wszystkich kont, do których uzyskano dostęp na zainfekowanym komputerze. Zrób to bezzwłocznie, ponieważ atakujący zazwyczaj działają szybko po uzyskaniu dostępu do danych uwierzytelniających.
Uruchom skanowanie offline programu Microsoft Defender: Skanowanie offline wykorzystuje zaufane środowisko do przeprowadzenia kompleksowego sprawdzenia systemu. Dostęp do opcji skanowania można uzyskać za pomocą aplikacji Zabezpieczenia systemu Windows: Ochrona przed wirusami i zagrożeniami → Opcje skanowania → Program antywirusowy Microsoft Defender (skanowanie offline).

Opcje skanowania programu Microsoft Defender

Monitoruj procesy startowe i uruchomione: Po skanowaniu sprawdź elementy startowe i aktualnie uruchomione procesy, aby zidentyfikować i usunąć wszelkie szkodliwe pliki. Użyj Autoruns i Process Explorera, aby zweryfikować autentyczność procesów.

Automatyczne uruchamianie wyświetlające listę procesów

Resetowanie lub przywracanie systemu Windows: Jeśli powyższe środki nie rozwiążą problemu, rozważ zresetowanie lub przywrócenie systemu Windows, aby wyeliminować wszelkie uporczywe programy wykradające dane. Wybierz między przywracaniem systemu a czystą instalacją, w zależności od swoich potrzeb.

Podsumowując, ataki takie jak FileFix wykorzystują phishing i socjotechnikę do wykonywania złośliwych poleceń. Zawsze zachowaj czujność i unikaj niechcianych żądań, które mogłyby zagrozić bezpieczeństwu Twojego systemu. Korzystanie z niezawodnych narzędzi bezpieczeństwa online może również zwiększyć Twoją zdolność wykrywania zagrożeń.

Źródło i obrazy