Новая «троянская» волна атак – DarkMe внедряют пользователям Windows⁠⁠

С помощью уязвимости в Windows Defender SmartScreen* киберпреступники обходят защитные функции ОС и устанавливают фейковый софт.

Специалисты Trend Micro сообщают, что операторы трояна начинают атаку с вредоносного письма с PDF-вложением. Для обхода защитных механизмов используется открытый редирект с помощью Google DoubleClick Digital Marketing (DDM). Когда жертва нажимает на ссылку, ее перенаправляют на скомпрометированный сервер, где хранится файл-ярлык. Последний ссылается на другой аналогичный файл на подконтрольном злоумышленникам WebDAV-сервере.

Открытие второго ярлыка через Windows Shortcut позволяет использовать CVE-2024-21412 для автоматического запуска вредоносного MSI-файла. Такие файлы маскируются под софт от NVIDIA, Notion и под Apple iTunes. Далее эксплуатируется брешь сторонней загрузки DLL. Подгружаются libcef.dll и sqlite3.dll для расшифровки и запуска пейлоада DarkGate.

*SmartScreen – это защитный механизм в Windows, предупреждающий пользователя при попытках открыть подозрительный файл, скачанный из Сети.

Истчоник - © ICTONLINE