Версия ChromeLoader Shampoo атакует пользователей через пиратские сайты

Версия ChromeLoader Shampoo атакует пользователей через пиратские сайты

Версия ChromeLoader Shampoo атакует пользователей через пиратские сайты

Киберпреступники запустили новую кампанию ChromeLoader, нацеленную на посетителей пиратских сайтов с фильмами. Задача злоумышленников — установить новый вариант рекламного расширения для браузеров под названием Shampoo.

Об атаках рассказали исследователи из команды Wolf Security (принадлежит HP). Согласно отчёту специалистов, кампания стартовала в марте 2023 года.

Напомним, что ChromeLoader устанавливает вредоносные расширения для браузеров, чтобы с их помощью перенаправлять пользователей из поисковой выдачи на сомнительные сайты, тематика которых варьируется от фейковых розыгрышей и опросов до игр для взрослых.

В начале этого года ChromeLoader начал использовать файлы в формате VHD с именами популярных игр. До этого зловред распространялся через ISO-образы. В сентябре 2022 года эксперты отметили, что ChromeLoader начал сбрасывать ZIP-бомбы и грузить шифровальщиков.

В новой кампании, на которую указали специалисты HP, вредонос распространяется через злонамеренные сайты. Для завлечения посетителей такие ресурсы предлагают бесплатно скачать музыкальные композиции, фильмы и игры.

 

Вместо желаемых медиафайлов жертва в итоге получает нагрузку в формате VBScripts, выполняющую PowerShell-скрипты и создающую запланированную задачу в ОС с префиксом «chrome_».

При выполнении эта задача запускает серию скриптов, в результате чего на компьютер загружается дополнительный PowerShell-скрипт. Последний приводит в действие вредоносный аддон Shampoo.

 

Shampoo, являясь одним из вариантов ChromeLoader, может вставлять рекламные объявления на любые сайты, а также перенаправлять пользователя на сторонние ресурсы. После установки вредонос закрывает жертве доступ к странице расширений Chrome.

«Удалить Shampoo не так просто, как деинсталлировать обычное легитимное расширение. Вредонос полагается на запущенные в цикле скрипты и созданные в Windows задачи. Таким образом, если вы удаляете аддон, он всё равно возвращается на своё место», — предупреждают (PDF) в HP.

Для корректного удаления навязчивого расширения специалисты рекомендуют выполнить следующие шаги:

  • удалить любые задачи в системе с префиксом «chrome_»;
  • удалить ключ реестра HKCU\Software\Mirage Utilities\;
  • перезагрузить компьютер.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники под видом накрутки кредитного рейтинга вытягивают деньги и данные

Мошенники выманивают у россиян деньги и персональные данные, представляясь «прямыми подрядчиками финсектора». Жертв они находят через Telegram.

О новой схеме сообщает «РИА Новости» со ссылкой на проект «Мошеловка». Обычно потенциальным жертвам пишет некая Камилла, представляющаяся «подрядчиком кредитования — прямым подрядчиком финсектора».

Она использует испанский номер, а её аккаунт был зарегистрирован в 2020 году.

Камилла рекламирует некий «финансовый маркетплейс с уникальными услугами для брокеров из сферы кредитования». По её словам, с его помощью якобы можно «поднять кредитный рейтинг на 300 баллов» и получить доступ к дополнительным услугам, которые постепенно появляются на платформе. Для перехода к ним необходимо нажать кнопку в чате.

Как отметили в «Мошеловке», такие заявления являются бессмысленным набором слов: «Существует понятие кредитного брокера — он помогает оформить заявки, подобрать и получить кредит. Однако брокер не может быть подрядчиком кредитования. В финансовом секторе такие подрядчики вообще не существуют».

Также в проекте подчеркнули, что фраза «зачислить кредиты» не имеет смысла. Поднять кредитный рейтинг, напомнили эксперты, можно только одним способом — соблюдая платёжную дисциплину и грамотно управляя своими кредитными продуктами.

«Жертв, которые поведутся на уловки мошенников, в лучшем случае ждёт потеря денег — её размер зависит от того, насколько быстро человек осознает бесполезность “услуг”. В худшем — произойдёт утечка личных и банковских данных, что грозит куда более серьёзными последствиями», — предупредили в «Мошеловке».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru