Наблюдават се заплахи, които използват вече поправен недостатък в сигурността на Microsoft Windows, за да внедрят крадец на информация с отворен код, наречен Phemedrone Stealer.

„Phemedrone се насочва към уеб браузъри и данни от портфейли за криптовалути и приложения за съобщения като Telegram, Steam и Discord“, казват изследователите от Trend Micro Питър Гирнус, Алиакбар Захрави и Саймън Зукербраун.

„Той също така прави скрийншоти и събира системна информация относно хардуера, местоположението и детайлите на операционната система. След това откраднатите данни се изпращат на нападателите чрез Telegram или техния сървър за командване и контрол (C&C).“

Атаките използват CVE-2023-36025 (CVSS оценка: 8.8), уязвимост в заобикалянето на сигурността в Windows SmartScreen, която може да бъде използвана чрез подвеждане на потребителя да щракне върху специално създаден интернет пряк път (.URL) или хипервръзка, сочеща към файл с интернет пряк път.

Активно експлоатираният недостатък беше отстранен от Microsoft като част от актуализациите Patch Tuesday за ноември 2023 г.

Процесът на заразяване включва хостинг на злонамерени Internet Shortcut файлове от страна на заплахата в Discord или облачни услуги като FileTransfer.io, като връзките също така се маскират с помощта на съкратители на URL адреси като Short URL.

Изпълнението на уловения в капана .URL файл позволява свързване със сървър, контролиран от извършителя, и изпълнение на файл с контролен панел (.CPL) по начин, който заобикаля Windows Defender SmartScreen, като се възползва от CVE-2023-36025.

„Когато зловредният .CPL файл се изпълни чрез двоичния процес на контролния панел на Windows, той на свой ред извиква rundll32.exe, за да изпълни DLL“, казват изследователите. „Този зловреден DLL действа като зареждащ файл, който след това се обръща към Windows PowerShell, за да изтегли и изпълни следващия етап на атаката, хостван в GitHub.“

Следващият полезен товар е PowerShell зареждач („DATA3.txt“), който действа като стартова площадка за Donut – зареждач на шелкод с отворен код, който декриптира и изпълнява Phemedrone Stealer.

Написан на C#, Phemedrone Stealer се поддържа активно от разработчиците си в GitHub и Telegram, което улеснява кражбата на чувствителна информация от компрометирани системи.

Разработката за пореден път е знак, че  заплахите стават все по-гъвкави и бързо адаптират своите вериги за атаки, за да се възползват от новоразкрити експлойти и да нанесат максимални щети.

„Въпреки че са закърпени, заплахите продължават да намират начини да използват CVE-2023-36025 и да избягват защитата Windows Defender SmartScreen, за да заразяват потребителите с множество видове зловреден софтуер, включително ransomware и крадци като Phemedrone Stealer“, казват изследователите.