ClearFake использует протокол WebDAV для кражи криптовалюты

Злоумышленники, стоящие за кампанией ClearFake, начали применять протокол WebDAV для скрытной доставки вредоносного ПО. По данным Cisco Talos, новая цепочка заражений направлена на массовое хищение учетных данных и криптовалютных активов пользователей.

Киберпреступная группировка, ответственная за кампанию ClearFake, существенно изменила тактику своей деятельности, внедрив протокол WebDAV в процесс доставки вредоносных нагрузок. Исследователи из подразделения Cisco Talos зафиксировали использование этого протокола для передачи файлов, что позволяет атакующим обходить ряд традиционных механизмов обнаружения угроз. По оценкам экспертов, данная активность не носит узконаправленный характер и нацелена на широкий круг пользователей, чьи системы в дальнейшем становятся источниками конфиденциальной информации для злоумышленников.

Инфекционная цепочка и использование WebDAV

Техническая реализация атаки опирается на социальную инженерию, при которой пользователь перенаправляется на вредоносные страницы под видом необходимости обновления браузера или системных компонентов. Использование протокола WebDAV в этой схеме играет ключевую роль: он позволяет злоумышленникам размещать вредоносные файлы на удаленных ресурсах и обращаться к ним через стандартные сетевые методы, которые зачастую не вызывают подозрений у систем мониторинга трафика. После того как жертва запускает вредоносный исполняемый файл, начинается процесс развертывания многокомпонентной системы кражи данных.

Предыстория развития кампании ClearFake

Ранее кампания ClearFake была известна своей способностью быстро адаптироваться к изменениям в ландшафте безопасности, постоянно совершенствуя методы обмана пользователей. Переход к использованию WebDAV стал логичным продолжением эволюции инструментов группы, стремящейся максимизировать скрытность своей инфраструктуры. Исторически такие кампании фокусировались на эксплуатации доверия пользователей к системным уведомлениям, однако нынешнее усложнение методов доставки свидетельствует о попытках снизить вероятность обнаружения вредоносного ПО на ранних стадиях исполнения.

Какие угрозы несет новая активность ClearFake?

Основным инструментом в текущей цепочке атак является стилер Amatera, который отвечает за первичный сбор данных с зараженного устройства. Помимо него, на компьютеры жертв устанавливаются ZigCryptoStealer, специализированный на поиске и хищении криптовалютных кошельков, а также NetSupport Manager. Последний используется злоумышленниками в качестве легитимного инструмента удаленного управления, что позволяет им получать постоянный доступ к системе, обходить некоторые меры защиты и осуществлять интерактивное взаимодействие с зараженным узлом, крадя пароли и другую чувствительную информацию.

Инструментарий и методы воздействия

Анализ Cisco Talos показывает, что архитектура атаки ориентирована на максимальное извлечение выгоды из скомпрометированных систем. Использование комбинации стилеров позволяет преступникам диверсифицировать источники дохода, переключаясь между кражей учетных записей от различных сервисов и прямым выводом цифровых активов. Присутствие NetSupport Manager в составе полезной нагрузки указывает на намерение атакующих закрепиться в системе на длительный срок, что превращает обычное заражение в полноценный инцидент с нарушением конфиденциальности данных.

Кого затронет и как защититься

Угроза актуальна для всех пользователей, которые могут столкнуться с поддельными запросами на обновление ПО в браузере. В первую очередь под ударом находятся владельцы криптовалютных активов и лица, хранящие пароли в браузерах. Для корпоративного сектора риск заключается в возможности использования скомпрометированных рабочих станций как плацдарма для дальнейшего проникновения в сеть организации. Эксперты подчеркивают необходимость критического отношения к любым всплывающим окнам, предлагающим установку обновлений вне официальных механизмов операционной системы или браузера.

Что будет дальше

Ожидается, что операторы ClearFake продолжат модифицировать свои методы доставки, чтобы оставаться незамеченными для систем защиты конечных точек и сетевых экранов. Исследователи Cisco Talos продолжают мониторинг инфраструктуры, связанной с данной кампанией, отмечая высокую динамичность в смене доменов и серверов, используемых для размещения вредоносного контента. Вероятно, злоумышленники будут искать новые способы интеграции легитимных протоколов в свои схемы для дальнейшего усложнения анализа сетевой активности.

Итог

Кампания ClearFake остается серьезной угрозой, использующей доверие пользователей и стандартные сетевые протоколы для достижения своих целей. Постоянное обновление инструментов злоумышленников требует от пользователей бдительности и использования современных средств защиты, способных распознавать аномальное поведение приложений, а не только сигнатуры известных угроз.