[VincaSec]

Prema ThreatFox, uočen je domen sa kojeg se širi malver. Drugi indikatori sa VirusTotal potvrđuju da je sajt kompromitovan.

https://threatfox.abuse.ch/ioc/1977654/
   

https://www.virustotal.com/gui/domain/os.../detection
   

Pre deset dana, neko je analizirao sajt i na snimku ekrana možemo videti da se pojavljuje lažna captcha.

https://urlscan.io/result/01a15c63-632f-...347b3831b/
   

Zanimljivo je da veb-sajt škole prilikom posete u pozadini pokreće komunikaciju sa domenom koji predstavlja C2 server. Ovaj server prosleđuje malicioznu skriptu koja simulira CAPTCHA verifikaciju. Kada korisnik prekopira i pokrene tu komandu u PowerShell-u, odmah se aktivira infostealer koji krade lozinke, sesije i druge podatke iz pretraživača.

   

https://www.virustotal.com/gui/domain/in...at/details

[milos_rs]

Kampanja cilja računare, ne mobilne telefone. Overlay detektuje OS posetioca i ima tabelu komandi:
Windows (Win+R + Ctrl+V + Enter, komanda instalira Bun runtime i izvršava drugu fazu u memoriji sa copiose[.]org) i
macOS (Terminal + paste + Enter, curl | zsh sa lumen44[.]com).

Linux dobija praznu komandu, a za Android/iPhone ne postoji posebano izvrsenje  — overlay se može prikazati, ali ne postoji akcija za  mobilni

Detaljnim pregledom deMaskiranog koda potvrđeno je da loader samo dodaje svoj <script> tag — nema nijedne logike za brisanje tuđih skripti. Jedina "zaštita" je guard flag window['_b77ce25b2'] koji sprečava sopstveno duplo izvršavanje. Ako sajt ima drugu ClickFix injekciju, ova radi paralelno sa njom.

C2 adresa
interseq[.]at — dešifrovana uživo iz blokčejn konfiguracije. Druga faza za vaš uzorak: interseq[.]at/ae8ouxb9gx/api?_v=<minuta>

Sekundarni hostovi:
copiose[.]org,
lumen44[.]com,
interseqf[.]com.

Kontaktirani ugovor

Polygon ugovor 0xfF9E792a3015A79340CDEc1847Ab0AA10560422a,
selector 0x6d4ce63c,
dešifrovni ključ 52147c4027c0d0d1e02cce15a97c62f7 — loader ga čita kroz 8 javnih RPC endpoint-ova. Ovo je ujedno i besplatan monitoring alat: svaka promena vrednosti u ugovoru = operator menja C2.