#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе кампании были скомпрометированы как минимум 31 сайт для доставки постоянного бэкдора через поддельные CAPTCHA-промпты ClickFix. ВПО взаимодействует с инфраструктурой C2 примерно раз в минуту и получает изменяемые данные C2 из блокчейна Polygon, что обеспечивает устойчивое перенаправление. Кампания также включает вредоносные расширения для браузеров и доставку банковского трояна.
-----

Вредоносная кампания привела к компрометации как минимум 31 легитимного веб-сайта в секторах электронной коммерции, профессиональных услуг и розничной логистики. Пользователи, попадающие на затронутые сайты через поисковые системы, видят поддельный CAPTCHA-проверочный элемент «Подтвердите, что вы человек». В запросе им предлагается нажать Win+R и вставить команду в свои системы, используя социальную инженерную технику ClickFix. Выполнение команды приводит к установке персистентного бэкдора без явных визуальных признаков компрометации.

Бэкдор сохраняется после перезагрузки системы, взаимодействует с инфраструктурой управления примерно раз в минуту и получает обновленные инструкции посредством данных, хранящихся в блокчейне Polygon. Вместо использования фиксированных доменных имен или IP-адресов ВПО использует блокчейн в качестве динамически изменяемого адресного справочника для информации C2. Это позволяет операторам перенаправлять зараженные системы на резервную инфраструктуру в случае блокировки или вывода из строя серверов, что усложняет традиционные методы противодействия, основанные на доменных именах и IP-адресах.

Кампания также включает вредоносные расширения для браузеров и связана с доставкой банковских троянов посредством социальной инженерии, а не эксплуатации уязвимостей программного обеспечения. Зафиксированный индикатор расширения для браузера — `bpknfkhjjbjgagobdaekmnlgdhbbpcea`, который может отображаться под различными названиями. Организациям рекомендуется непрерывно мониторить публичные веб-сайты на базе WordPress, Magento и аналогичных платформ, поскольку, по сообщениям, скомпрометированные сайты повторно заражались после проведения мероприятий по очистке. Также следует ограничивать использование несанкционированных расширений для браузеров с помощью корпоративной политики и включать активность, связанную с ClickFix, в программы обучения по вопросам информационной безопасности.

В состав задокументированной инфраструктуры входит исходный сервер, на котором эксплуатируются несколько уязвимостей из списка Known Exploited Vulnerabilities (KEV) CISA, в том числе CVE-2023-4911, CVE-2023-0386, CVE-2022-2586, CVE-2023-44487, две дополнительные записи за 2026 год, а также CVE-2024-6387, известная как regreSSHion. Записи в блокчейне могут раскрывать устойчивые данные о C2, оперативные изменения, связи между элементами инфраструктуры и временные рамки кампаний, что поддерживает поведенческое обнаружение угроз, выходящее за рамки блокировки отдельных адресов. Любые учетные данные банков или криптовалютных бирж, введённые на затронутых системах, следует рассматривать как потенциально скомпрометированные, а предположительно заражённые системы — эскалировать для проведения реагирования на инцидент.