Кіберзлочинці змінюють спосіб доставлення шкідливого програмного забезпечення, і ця зміна відбувається прямо у вашому веббраузері. Замість того, щоб надсилати один шкідливий файл, який може виявити антивірус, зловмисники тепер розбивають свої кампанії на кілька етапів, збираючи кінцеве корисне навантаження частина за частиною, поки жертва переходить по сторінках, що виглядають як звичайний вебсайт. У новому звіті також відзначено те, що має привернути увагу кожного: ChatGPT увійшов до десятки найчастіше підроблюваних брендів у фішингових атаках, приєднавшись до відомих назв, на які шахраї покладалися роками.
Багатоетапні атаки переносять збирання шкідливого ПЗ у браузер
Традиційне доставлення шкідливого ПЗ зазвичай передбачає обман, щоб змусити когось завантажити й запустити один заражений файл. Захисні інструменти навчилися досить добре виявляти таку схему, тож зловмисники адаптуються. Замість того, щоб надсилати повноцінну шкідливу програму, злочинці тепер розділяють атаку на кілька менших, на перший погляд нешкідливих кроків. Скрипти виконуються в браузері, підтягують додаткові компоненти з віддалених серверів і збирають фактичне шкідливе ПЗ лише після того, як ціль уже взаємодіяла з кількома етапами атаки.
Ця техніка збирання в браузері значно ускладнює виявлення. Оскільки жоден окремий файл сам по собі не виглядає явно шкідливим, сигнатурне антивірусне сканування може повністю пропустити загрозу. Шкідливе ПЗ по суті збирає себе в реальному часі, використовуючи власні скриптові можливості браузера як майстерню. Це нагадування про те, що браузер став одним із найбільш атакованих програмних продуктів на будь-якому пристрої — не просто вікном в інтернет, а активним середовищем виконання, яке зловмисники вчаться експлуатувати.
Така багатоетапна інфраструктура часто безпосередньо живить більші злочинні операції. Скомпрометовані пристрої, зібрані через браузерні атаки, часто стають частиною ботнету — мережі заражених машин, якими зловмисники керують віддалено, щоб запускати подальші атаки, розсилати спам або масово збирати облікові дані. Одна успішна компрометація браузера рідко залишається ізольованою. Вона зазвичай стає одним вузлом у значно більшій мережі.
ChatGPT приєднується до десятки фішингових брендів
Мабуть, найбільш привертає увагу в звіті те, що ChatGPT тепер увійшов до десятки брендів, які використовують у фішингових приманках. Це логічно, враховуючи, як швидко цей інструмент став частиною повсякденної роботи та особистого життя. Шахраї процвітають на знайомості й довірі, а бренд, який сотні мільйонів людей тепер використовують щодня, є очевидною мішенню для підробки. Фальшиві сторінки входу, підробні листи про поновлення підписки та контрафактні розширення браузера, що нібито пропонують преміумфункції ChatGPT, — усе це правдоподібні вектори, щойно бренд досягає такого рівня впізнаваності.
Включення ШІ-інструменту поряд із більш усталеними фішинговими цілями показує, як швидко злочинні схеми адаптуються до технологій, що набирають популярності. Це також свідчить, що фішингові набори оновлюються швидше, ніж багато користувачів усвідомлюють ризик, оскільки цілком нові сервіси рідко викликають таку саму підозру, як старіші, більш перевірені платформи.
Чому ця зміна важлива для звичайних користувачів
Браузерні багатоетапні атаки ефективні саме тому, що вони експлуатують довіру до звичайної поведінки під час перегляду. Користувач може відвідати сайт, що виглядає легітимним, взаємодіяти з віджетом чатбота або натиснути посилання, яким поділився колега, — і жодна з цих дій окремо не здається ризикованою. Кожен крок сам по собі виглядає нешкідливим, і саме в цьому суть.
Наслідки успішної компрометації не абстрактні. Викрадені дані з порушень, пов'язаних із скомпрометованими системами, неодноразово зрештою опинялися у публічному доступі, як-от в інцидентах із порушенням у Tata Electronics, що викрило конфіденційні файли постачальників або витоком даних карток клієнтів Origin Energy. Ці випадки показують, що щойно зловмисники отримують опору — чи через фішинг, скомпрометовану сесію браузера, чи відкриту інфраструктуру, як-от злом VPN, що призвів до компрометації китайського суперкомп'ютера, — шкода може поширюватися далеко за межі одного пристрою.
Що це означає для вас
Вам не потрібно відмовлятися від браузера чи припиняти користуватися ШІ-інструментами, щоб залишатися в безпеці, але кілька звичок тепер важливіші, ніж раніше. Ставтеся до неочікуваних запитів, спливних вікон браузера та незнайомих розширень із тією ж підозрою, яку ви застосували б до небажаного вкладення в електронному листі. Тримайте браузер і операційну систему оновленими, оскільки багато з цих багатоетапних атак покладаються на експлуатацію відомих уразливостей, які патчі вже виправляють. Будьте обережні з будь-якою сторінкою входу або запитом на підписку, пов'язаним із ChatGPT чи подібними ШІ-сервісами, що надходить через посилання в електронному листі, а не через закладку, до якої ви перейшли самостійно.
Використання надійного VPN із зашифрованим DNS додає тут значущий рівень захисту. Це не зупинить виконання шкідливого скрипту, щойно ви перейшли на скомпрометовану сторінку, але ускладнить зловмисникам або посередникам моніторинг ваших шаблонів перегляду, перехоплення DNS-запитів, які можуть розкрити, до яких шкідливих доменів ви підключаєтеся, або співвіднесення вашої активності на кількох етапах атаки.
Ключові висновки
- Шкідливе ПЗ, доставлене етапами в браузері, розроблене для ухилення від традиційного антивірусного виявлення, тому регулярно оновлюйте захисне програмне забезпечення та браузери.
- Поява ChatGPT у десятці фішингових брендів означає, що вам слід самостійно перевіряти будь-яку сторінку входу або оплати, пов'язану з ШІ-інструментами, а не переходити за посиланнями з електронних листів.
- Скомпрометовані браузери та пристрої часто живлять більші ботнети, тож інциденти, що здаються ізольованими, можуть мати ширші наслідки, ніж виглядає спочатку.
- Поєднання хороших звичок перегляду з VPN і зашифрованим DNS зменшує ймовірність того, що ваш трафік моніторитимуть або перенаправлятимуть під час багатоетапної атаки.
Оскільки техніки фішингу та доставлення шкідливого ПЗ продовжують розвиватися, найкращим захистом залишається бути обізнаним про те, як насправді діють зловмисники, а не реагувати на заголовки новин. Невеликі, послідовні запобіжні заходи в тому, як ви переглядаєте сайти й натискаєте посилання, усе ще значно допомагають тримати ваші дані поза наступним звітом про витік.
