Η συμμορία FIN7 παρασύρει τα θύματα σε ένα sites που περιέχουν κακόβουλο λογισμικό (malware), υποσχόμενα λήψεις εργαλείων deepfake, σύμφωνα με νέο report της Silent Push.
Σύμφωνα με πληροφορίες, το FIN7, μια ρωσική ομάδα που έχει συνδεθεί με πολλές επιθέσεις ransomware, φιλοξενεί τους κακόβουλους ιστότοπους σε πολλά domain με την επωνυμία aiNude[.]ai.
Τα sites αυτά σχεδιάστηκαν για να προσελκύσουν χρήστες του Διαδικτύου που επιθυμούν να αποκτήσουν τα εργαλεία deepfake “deepnude” για τη δημιουργία γυμνών εικόνων από φωτογραφίες που ανεβάζουν.
Διαβάστε σχετικά: Spear-phishing καμπάνια μολύνει υπεύθυνους προσλήψεων με το backdoor More_eggs
Η κακόβουλη συμμορία FIN7 έχει δημιουργήσει δύο εκδόσεις αυτών των λεγόμενων ιστοτόπων «honeypot»: η μία προσφέρει δωρεάν λήψεις ενός εργαλείου «Deepnude Generator» και η άλλη μια δωρεάν δοκιμή.
Κάνοντας κλικ στην προσφορά “δωρεάν λήψη”, το θύμα ανακατευθύνεται σε έναν νέο τομέα που περιέχει έναν σύνδεσμο Dropbox ή άλλη πηγή που φιλοξενεί ένα κακόβουλο λογισμικό, αν και η αναφορά δεν διευκρινίζει τι ακριβώς περιλαμβάνει αυτό το φορτίο. Αντίστοιχα, αν ένα θύμα επιλέξει τη “δωρεάν δοκιμή”, θα του ζητηθεί να ανεβάσει μια εικόνα.
Εάν μεταφορτωθεί μια εικόνα, ο χρήστης λαμβάνει ένα μήνυμα που λέει, “Η δοκιμή είναι έτοιμη για λήψη. Πρόσβαση σε επιστημονικό υλικό μόνο για προσωπική χρήση.” Ο σύνδεσμος είναι μόνο για προσωπική χρήση, συμφωνείτε;», εξήγησε ο Silent Push.
Δείτε περισσότερα: Οι hackers CeranaKeeper στοχεύουν τη Νοτιοανατολική Ασία
Αν ο χρήστης συμφωνήσει και κάνει κλικ στο «Λήψη», κατεβαίνει ένα zip αρχείο με κακόβουλο ωφέλιμο φορτίο. Το FIN7 χρησιμοποιεί μια κλασική τεχνική Lumma Stealer και πλευρική φόρτωση DLL για εκτέλεση.
Ο προμηθευτής παρατήρησε επίσης το FIN7 να αναπτύσσει το Redline Stealer και το D3F@ck ως υπηρεσία μέσω αυτής της εκστρατείας. Πιστεύεται ότι η συμμορία χρησιμοποιεί τακτικές SEO για να κατατάξει τους ιστότοπούς της σε AI Deepnude ψηλά στις αναζητήσεις.
Διαβάστε επίσης: Ψεύτικες ενημερώσεις browser διαδίδουν το WarmCookie malware
Το Silent Push αποκάλυψε επίσης μια δεύτερη καμπάνια του FIN7, που εξυπηρετεί κρυφά το κακόβουλο NetSupport RAT μέσω παρόμοιων ιστότοπων που απαιτούν από τους επισκέπτες να εγκαταστήσουν μια επέκταση προγράμματος περιήγησης. Οι απειλές παρασύρουν θύματα σε ιστότοπους που παραπλανούν γνωστές μάρκες όπως η SAP Concur, η Microsoft και η Thomson Reuters μέσω κακόβουλης διαφήμισης.
Πηγή: infosecurity-magazine.com
, υποσχόμενα λήψεις εργαλείων deepfake, σύμφωνα με νέο report της Silent Push.){kind=link}