תוכנה זדונית LOSTKEYS
גורם האיום המקושר לרוסיה, המכונה COLDRIVER, הרחיב את ערכת הכלים שלו, ועובר מעבר לקמפיינים מסורתיים של פישינג לאימות. לאחרונה, הקבוצה נצפתה פורסת זן חדש של נוזקה בשם LOSTKEYS בקמפיין ריגול ממוקד. זוהי התוכנה הזדונית המותאמת אישית השנייה המקושרת ל-COLDRIVER, לאחר SPICA . COLDRIVER, המנוהלת גם תחת כינויים כמו Callisto, Star Blizzard ו-UNC4057, ידועה לשמצה בגניבת אישורים, חטיפת דוא"ל ואיסוף רשימות אנשי קשר. כעת, מדריך הפעולה שלה כולל פריסה סלקטיבית של נוזקות כדי לגשת לקבצי מערכת ונתונים.
תוכן העניינים
LOSTKEYS נחשף: איום חשאי וממוקד
LOSTKEYS נועד לחלץ באופן חשאי מידע רגיש, כולל קבצים מספריות ספציפיות, תהליכים פועלים ופרטי מערכת. הוא נפרס בפעילות מבצעית במהלך ינואר, מרץ ואפריל 2025. בין המטרות נמנים יועצים נוכחיים ובעבר של ממשלות וצבאות מערביים, עיתונאים, מכוני מחקר, ארגונים לא ממשלתיים ואנשים פרטיים הקשורים לאוקראינה. ראוי לציין כי נראה כי הנוזקה נפרסת באופן סלקטיבי, תוך הדגשת השימוש בה בהתקפות ממוקדות ביותר.
הנדסה חברתית 2.0: הקשר של ClickFix
שרשרת ההדבקה מתחילה עם בקשת CAPTCHA מזויפת המאוחסנת באתר אינטרנט מטעה. הקורבנות מוטעים לפתוח את תיבת הדו-שיח "הפעלה" של Windows ולהדביק פקודת PowerShell שהועתקה ללוח שלהם - שיטה המכונה ClickFix. פקודה זו מורידה קוד שלב שני משרת מרוחק, אשר לאחר מכן מספק סקריפט PowerShell שלב שלישי. סקריפט זה מבצע את LOSTKEYS על המארח תוך התחמקות מזיהוי בסביבות וירטואליות.
תוכנות זדוניות לשימוש חוזר או בדיקה מוקדמת?
חוקרי אבטחה גילו דגימות של LOSTKEYS מדצמבר 2023 שחיקו קבצים בינאריים של Maltego, פלטפורמת חקירה בקוד פתוח. עדיין לא ברור האם אלה היו גרסאות בדיקה מוקדמות או שימושים לא קשורים של הנוזקה לפני פריסתה המאושרת בשנת 2025.
האימוץ הרחב יותר של ClickFix והשפעתו הפוגעת
טכניקת ClickFix צוברת פופולריות בקרב גורמים שונים להפצת תוכנות זדוניות. שתי דוגמאות בולטות כוללות:
- טרויאן בנקאות Lampion : מועבר באמצעות הודעות דוא"ל פישינג עם קבצים מצורפים בפורמט ZIP. בפנים, קובץ HTML מפנה את הקורבנות לדף CAPTCHA מזויף עם הוראות ClickFix, מה שמתחיל הדבקה רב-שלבית המכוונה למגזרים דוברי פורטוגזית כמו ממשלה, פיננסים ותחבורה.
מקריפר: קמפיין נרחב עם ניצול לגיטימי של אתרים
חקירה נוספת קישרה את קמפיין Atomic Stealer למתקפת רשת רחבת היקף בשם MacReaper. כמעט 2,800 אתרים לגיטימיים נפגעו והציגו הנחיות CAPTCHA מזויפות. התקפות אלו השתמשו ב-JavaScript מעורפל, iframes במסך מלא ותשתית מבוססת בלוקצ'יין כדי להתחמק מגילוי ולמקסם את הזיהומים.
