Киберпреступники стали применять распространенную методику социальной инженерии ClickFix для распространения нового вредоносного программного обеспечения — ранее не зафиксированного трояна удаленного доступа (RAT), получившего наименование ChainScript. Информация об этом сообщили исследователи компании Blackpoint APG.
Злоумышленники скрывают исполняемые файлы под видом легитимных приложений, включая Spotify, Zoom Workplace и Microsoft Teams. Пользователь, подвергшийся манипуляции ClickFix, активирует вредоносный MSI-инсталлятор. После этого разворачивается среда Node.js, а затем запускаются скрипты PowerShell и VBScript, которые переносят основной модуль ChainScript в системные каталоги пользователя и обеспечивают его автоматический запуск.
ChainScript характеризуется широким набором возможностей: предоставляет доступ к интерактивной командной строке и PowerShell, позволяет осуществлять управление файлами, делать снимки экрана, искать криптовалютные кошельки (как настольные приложения, так и расширения для браузеров) и выполнять произвольный JavaScript-код.
Ключевой особенностью данного трояна является инновационный метод управления инфраструктурой. Вредоносное ПО использует смарт-контракт в блокчейн-сети Polygon для определения адреса активного WebSocket-сервера, отвечающего за управление. Такой подход, напоминающий EtherHiding, позволяет злоумышленникам изменять серверы управления без внесения изменений в сам вредоносный код, что значительно затрудняет блокировку атак и выявление по стандартным индикаторам компрометации.
