Kampanju, koja je počela u decembru 2024. godine, Microsoft Threat Intelligence je pripisao grupi poznatoj kao Storm-1865.
Napadači koriste tehniku društvenog inženjeringa pod nazivom ClickFix ciljajući zaposlene u ugostiteljskim firmama u Severnoj Americi, Okeaniji, Južnoj i Jugoistočnoj Aziji i Evropi, koje vjerovatno rade sa Booking.com, najpoznatijom onlajn turističkom agencijom.
Hakeri koriste lažne poruke o grešci koje upućuju korisnike da riješe probleme kopiranjem, lijepljenjem i pokretanjem komandi koje na kraju rezultiraju preuzimanjem malvera. Ova tehnika omogućava zaobilaženje konvencionalnih i automatizovanih bezbjednosnih funkcija i infekciju uređaja žrtve.
Napadači računaju na želju korisnika da sami riješe probleme umjesto da upozore IT tim ili bilo koga drugog.
Hakeri koriste više malvera koji imaju mogućnosti da ukradu finansijske podatke i lozinke, kao što su XWorm, Lumma stealer, VenomRAT, AsyncRAT, Danabot i NetSupport RAT.
Microsoft je rekao da je ova taktika viđena u ranijim kampanjama grupe Storm-1865, uključujući i one kada su ciljevi napada bili gosti hotela kojima su se napadači lažno predstavljali kao Booking.com.
Storm-1865 počinje napad slanjem imejla u ime Booking.com ciljanoj osobi. Sadržaj poruka značajno varira, od negativnih recenzija gostiju ili zahtjeva potencijalnih gostiju do verifikacije naloga zbog promocije na mreži.
U imejlovima se od primalaca zahtjeva da preduzmu određene radnje kako bi se riješio navodni problem ili upit. Oni sadrže link ili PDF fajl, za koji se tvrdi da vodi primaoce na Booking.com. Klik na link vodi žrtve na veb stranicu koja prikazuje lažni CAPTCHA izazov. Ovo polje je prekriveno suptilno vidljivom pozadinom dizajniranom da imitira legitimnu stranicu Booking.com, što žrtvi treba da stvori lažni osjećaj sigurnosti.
Lažni CAPTCHA upućuje korisnika da koristi prečicu na tastaturi da otvori Windows Run prozor, a zatim nalepi i pokrene komandu koju veb stranica dodaje u clipboard. Komanda preuzima i pokreće malver preko fajla mshta.exe.
Ukradeni podaci za prijavu i druge osjetljive informacije, uključujući finansijske podatke, se zatim eksfiltriraju preko komandnog i kontrolnog (C2) kanala. Ove informacije se mogu koristiti za naknadne napade, uključujući lažne finansijske transakcije, piše Informacija.
Najnovije vijesti Srpskainfo i na Viberu