🎩 Картинки с сюрпризом, которые запускают PowerShell скрипты Исследователи из обнаружили новую волну атак с использованием техники ClickFix, которая заставляет пользователей собственноручно заражать свои машины. Жертва попадает на сайт с фейковой капчей (Я не робот) или очень убедительной имитацией экрана обновления Windows. Чтобы пройти проверку или исправить ошибку обновления, сайт просит нажать Win+R, а затем Ctrl+V и Enter. Скрипт сам копирует вредоносную команду в буфер обмена, а юзер просто исполняет роль мясного интерфейса для ввода 💩 После выполнения команды запускается цепочка PowerShell-скриптов, которая подгружает .NET-сборку. Но вместо того чтобы тупо скачать исполняемый файл, зловред использует стеганографию. Финальный пейлоад (обычно это инфостилеры LummaC2 или Rhadamanthys) спрятан прямо в пикселях обычных PNG-изображений. Вредоносный код закодирован в цветовых каналах (RGB) картинки. Специальный загрузчик считывает цвета пикселей, расшифровывает их на лету и собирает боевую нагрузку прямо в оперативной памяти, успешно обходя многие сигнатурные антивирусы, которые видят перед собой просто ПНГшку. Интересен вариант с фейковым обновлением Windows. Сайт принудительно переводит браузер в полноэкранный режим и показывает знакомую синюю анимацию обновления. Когда процесс якобы прерывается ошибкой, пользователю предлагают быстрое решение через командную строку. Расчет идет на панику и привычку юзеров слепо следовать инструкциям. Защититься от этого технически сложно, так как инициатором процесса выступает сам пользователь 🐒 Типичный 🥸 Сисадмин