10/01/24
Недавно эксперты компании Fortinet обнаружили новую киберугрозу: злоумышленники используют YouTube-видео, связанные с пиратским программным обеспечением, для распространения похитителя данных под названием Lumma.
Эти видео обычно содержат информацию о взломанных приложениях, снабжены похожими инструкциями по установке и содержат вредоносные URL-адреса, часто сокращённые с помощью сервисов вроде TinyURL и Cuttly, чтобы усыпить бдительность потенциальной жертвы. Это передаёт Securitylab.
Подобные методы уже давно используются для распространения различного вредоносного ПО, включая вредоносы для кражи данных, криптовалют и нелегального криптомайнинга.
Примечательно, что такие откровенно мошеннические ролики могут провисеть на популярной видеоплатформе весьма долгое время перед тем, как наконец-то будут удалены. А уж про многочисленные перезаливы и говорить не стоит.
В последней зафиксированной атаке злоумышленники нацелились на пользователей, которые ищут на YouTube взломанные версии легитимных видеоредакторов, например, Vegas Pro. В фишинговых видео хакеры используют методы социальной инженерии, которые подталкивают зрителя кликнуть по ссылке в описании видео, что ведёт к загрузке фальшивого установщика программы с файлообменника MediaFire.
Установщик, в свою очередь, содержит вредоносный LNK-файл, замаскированный под исполняемый файл установки, который скрытно загружает загрузчик .NET с репозитория GitHub. После этого, а также проверки, не запущен ли вредонос на виртуальной машине, Lumma Stealer начинает свою работу в скомпрометированной системе.
Инфостилер Lumma, написанный на C и продаваемый на подпольных форумах с конца 2022 года, способен собирать и передавать конфиденциальные данные на сервер, контролируемый злоумышленниками. По некоторым данным, вредонос впервые был обнаружен в реальных атаках в далёком 2018 году.
В октябре 2023 года мы рассказывали о распространении этого коварного вредоносного ПО через Discord-ботов, эксплуатирующих API популярной платформы для геймеров.
