Хакеры, использующие "ClickFix", выдают себя за венчурные фонды и взламывают расширения для браузеров в новых атаках на криптовалюту.

Хакеры, пытающиеся использовать атаки "ClickFix" для кражи криптовалюты, теперь выдают себя за венчурные фонды и взламывают расширения для браузеров в своих двух последних атаках.

Согласно отчету компании по кибербезопасности Moonlock Lab, опубликованному в понедельник, мошенники используют поддельные венчурные фонды, такие как SolidBit, MegaBit и Lumax Capital. Хакеры используют эти компании для связи с пользователями через LinkedIn с предложениями о партнерстве, а затем перенаправляют их на поддельные ссылки Zoom и Google Meet.

Когда жертва переходит по поддельной ссылке, она попадает на страницу мероприятия, содержащую поддельную галочку "Я не робот" от Cloudflare. При нажатии на нее в буфер обмена копируется вредоносная команда, и пользователю предлагается открыть терминал своего компьютера и вставить так называемый код проверки, который выполняет атаку.

"Техника "ClickFix" делает последний этап столь эффективным", - заявила команда Moonlock Lab. "Заставляя жертву стать механизмом выполнения - заставляя ее вставлять и запускать команду самостоятельно - злоумышленники обходят те самые средства контроля, которые индустрия безопасности создавала на протяжении многих лет. Без эксплойта. Без подозрительной загрузки."

Moonlock Lab утверждает, что человек под именем Михаил Хуреев, указанный как соучредитель и управляющий партнер в SolidBit Capital, является основным контактным лицом на начальном этапе мошенничества в LinkedIn. Два пользователя X также сообщили о подозрительных разговорах с аккаунтом Hureiev.

[Изображение: Ссылка на изображение, показывающее пользователя под именем Михаил Хуреев, который, как утверждается, был основным контактным лицом на начальном этапе мошенничества в LinkedIn. Источник: big dan]

Однако Moonlock Lab отмечает, что инфраструктура этой кампании сложна и предназначена для смены идентичностей, как только один из "фронтов" будет раскрыт.

Расширение для Chrome взломано для кражи криптовалюты.

Тем временем, хакеры, специализирующиеся на криптовалюте, до недавнего времени распространяли вредоносное расширение для Chrome, использующее технику "ClickFix".

Расширение QuickLens, которое позволяет пользователям выполнять поиск с помощью Google Lens непосредственно в браузере, было удалено из магазина приложений после того, как оно было скомпрометировано для распространения вредоносного ПО, как сообщил Джон Такнер, основатель компании по кибербезопасности Annex Security, в отчете от 23 февраля.

После смены владельца QuickLens 1 февраля была выпущена новая версия, содержащая вредоносные скрипты, которые запускали атаки "ClickFix" и другие инструменты для кражи информации. Такнер отметил, что у расширения было около 7000 пользователей.

[Изображение: Ссылка на изображение, показывающее, что QuickLens было удалено из магазина приложений после того, как оно было скомпрометировано для распространения вредоносного ПО. Источник: Annex Security]

Расширение, которое было скомпрометировано, предположительно, собирало данные о криптокошельках и секретные фразы для кражи средств. Оно также собирало содержимое почтовых ящиков Gmail, данные YouTube-каналов и другую информацию для входа или платежную информацию, введенную в веб-формы, согласно отчету eSecurity Planet от 2 марта.

Атаки ClickFix используются для таргетирования различных отраслей

Техника ClickFix приобрела популярность среди злоумышленников с прошлого года, согласно данным Moonlock Lab, поскольку она заставляет жертв выполнять вредоносную программу вручную, обходя стандартные инструменты безопасности.

Связанные материалы: Потери в криптовалюте в феврале достигли самого низкого уровня с марта 2025 года, сообщает PeckShield

Однако, исследователи в области безопасности отслеживают ее использование с 2024 года, и цели охватывают широкий спектр отраслей.

Microsoft Threat Intelligence в августе прошлого года выпустила предупреждение о том, что отслеживает "кампании, нацеленные на тысячи корпоративных и пользовательских устройств по всему миру каждый день".

В то же время, компания Unit42, занимающаяся киберразведкой, сообщила в июле прошлого года, что "относительно новая техника социальной инженерии" оказывает влияние на такие отрасли, как производство, оптовая и розничная торговля, государственные и местные органы власти, а также коммунальные службы и энергетика.

Журнал: Действительно ли Bitcoin был бы по цене 200 000 долларов, если бы не Jane Street? Торговые секреты