Perisian hasad LOSTKEYS

Pelakon ancaman berkaitan Rusia yang dikenali sebagai COLDRIVER telah mengembangkan kit alatnya, melangkaui kempen pancingan data kelayakan tradisional. Baru-baru ini, kumpulan itu telah dikesan menggunakan jenis perisian hasad baharu yang dipanggil LOSTKEYS dalam kempen pengintipan yang disasarkan. Ini menandakan perisian hasad tersuai kedua yang dipautkan kepada COLDRIVER, selepas SPICA . Turut dijejaki di bawah alias seperti Callisto, Star Blizzard dan UNC4057, COLDRIVER terkenal kerana kecurian bukti kelayakan, penyingkiran e-mel dan penuaian senarai kenalan. Kini, buku mainnya termasuk penggunaan perisian hasad terpilih untuk mengakses fail dan data sistem.

LOSTKEYS Didedahkan: Ancaman Senyap dan Bersasar

LOSTKEYS direka bentuk untuk mengeluarkan maklumat sensitif secara senyap-senyap, termasuk fail daripada direktori tertentu, proses berjalan dan butiran sistem. Ia telah digunakan dalam operasi pada bulan Januari, Mac dan April 2025. Sasaran termasuk penasihat semasa dan bekas kepada kerajaan Barat dan tentera, wartawan, badan pemikir, NGO dan individu yang berkaitan dengan Ukraine. Terutamanya, perisian hasad nampaknya digunakan secara terpilih, menekankan penggunaannya dalam serangan yang sangat disasarkan.

Kejuruteraan Sosial 2.0: Sambungan ClickFix

Rantaian jangkitan bermula dengan gesaan CAPTCHA palsu yang dihoskan pada tapak web penipu. Mangsa ditipu untuk membuka dialog Windows Run dan menampal perintah PowerShell yang disalin ke papan keratan mereka—kaedah yang dikenali sebagai ClickFix. Perintah ini mengambil pemuat turun peringkat kedua daripada pelayan jauh, yang kemudiannya menghantar skrip PowerShell peringkat ketiga. Skrip ini melaksanakan LOSTKEYS pada hos sambil mengelak pengesanan dalam persekitaran maya.

Perisian Hasad atau Ujian Awal?

Penyelidik keselamatan menemui sampel LOSTKEYS sejak Disember 2023 yang meniru perduaan daripada Maltego, platform penyiasatan sumber terbuka. Masih tidak jelas sama ada ini adalah versi ujian awal atau penggunaan perisian hasad yang tidak berkaitan sebelum penggunaannya yang disahkan pada tahun 2025.

Penggunaan Lebih Luas dan Jangkauan Mencederakan ClickFix

Teknik ClickFix semakin popular di kalangan pelbagai pelaku ancaman untuk pengedaran perisian hasad. Dua contoh ketara termasuk:

• Trojan Perbankan Lampion : Dihantar melalui e-mel pancingan data dengan lampiran ZIP. Di dalam, fail HTML mengubah hala mangsa ke halaman CAPTCHA palsu dengan arahan ClickFix, memulakan jangkitan berbilang peringkat yang menyasarkan sektor berbahasa Portugis seperti kerajaan, kewangan dan pengangkutan.
• Atomic Stealer untuk macOS : Digandingkan dengan taktik yang dipanggil EtherHiding, di mana kontrak Binance Smart Chain (BSC) menyembunyikan muatan. Mangsa yang mengklik 'Saya bukan robot' tanpa disedari mencetuskan arahan Base64, yang kemudiannya dijalankan dalam Terminal untuk memuat turun dan melaksanakan binari Mach-O yang ditandatangani yang disahkan sebagai Atomic Stealer.

MacReaper: Kempen Berleluasa dengan Eksploitasi Laman Web yang Sah

Siasatan lanjut telah mengaitkan kempen Atomic Stealer dengan serangan lubang air berskala besar yang digelar MacReaper. Hampir 2,800 tapak web yang sah telah dikompromi untuk memaparkan gesaan CAPTCHA palsu. Serangan ini menggunakan JavaScript yang dikaburkan, iframe skrin penuh dan infrastruktur berasaskan blok untuk mengelakkan pengesanan dan memaksimumkan jangkitan.