Ny FileFix-angreb kan narre Windows-brugere til at installere StealC-malware - hvordan man forbliver sikker - gør teknologi lettere

Et nyt FileFix-angreb narer Windows-brugere til at installere StealC malware ved hjælp af phishing, hvilket kan stjæle følsomme data. Læs hvordan du forbliver sikker.

En smart FileFix-angreb er aktivt, der narærer Windows-brugere til at installere StealC infostealer. Flere sociale ingeniørkampagner er blevet opdaget i forsøg på at udføre dette FileFix-angreb. Lad os lære, hvordan dette angreb fungerer, og hvordan man kan forblive sikker mod det.

Hvordan dette nye FileFix-angreb downloader StealC malware

Efter det seneste FileFix-angreb, der omgåede Windows MoTW, kan dette nye FileFix-angreb downloade et inficeret billede, der udfører StealC infostealer (lignende EDDIESTEALER) i PC'ens hukommelse. Da formålet med et FileFix-angreb er at omgå PC-forsvar ved at udnytte filsystemet, er det særligt farligt, når det først er udført.

Nedenfor er den fulde trin-for-trin proces for, hvordan dette angreb udføres:

• Offeret lokkes til en phishing-side (som en Facebook-konto suspenderingsmeddelelse), hvor de bliver instrueret i at kopiere en sti ind i File Explorer for at se hændelsesrapporten. Men når det kopieres, har filstien meget plads med en skjult payload for enden, så brugeren kun ser den indsatte sti.

Billedkilde: Acronis

• Når det udføres, kører det en PowerShell-kommando, der downloader en billedfil på vegne af brugeren, som indeholder et skjult script.
• PowerShell dekoder derefter det skjulte indhold og indlæser den endelige malware i hukommelsen (ingen tilstedeværelse på disken, så ingen detektion). I de seneste angreb blev StealC infostealer opdaget som den primære payload, der fokuserer på at stjæle browsercookies, gemte legitimationsoplysninger, data fra kryptovaluta-tegnebøger og tage screenshots af aktive apps.

Mens StealC infostealer og Facebook phishing-sider er blevet brugt i dette FileFix-angreb, kan det samme angreb bruges i forskellige phishing-kampagner til at installere andre typer malware.

Selvom dette FileFix-angreb er smart, kan du stadig forblive sikker ved at være skeptisk overfor phishing-forsøg og tage proaktive sikkerhedsforanstaltninger. Nedenfor er nogle måder at forblive sikker mod et FileFix-angreb:

• Kopier/indsæt aldrig kommandoer i OS: underhold aldrig anmodninger om at kopiere/indsætte en sti eller kommando et eller andet sted i OS, som f.eks. Kør, CMD, File Explorer osv. Selv hvis du ved, hvad du indsætter, og hvad det vil gøre, er det bedst at skrive det manuelt.
• Styrk PowerShell-sikkerhed: mange sådanne angreb afhænger af at køre PowerShell-scripts. Du kan styrke sikkerheden i PowerShell, så det ikke kører ondsindede scripts ved et uheld. Her er en komplet guide til at sikre PowerShell.
• Brug et antivirus, der inspicerer hukommelsen: du bør få et antivirus, der har en kraftfuld hukommelsesscanningsfunktion. Disse antivirusprogrammer kan scanne hukommelsen i realtid for at opdage ondsindet kode. Bitdefender og ESET har begge en kraftfuld hukommelsesscanningsfunktion.
• Brug standardbrugerkonto: de fleste malware kræver at køre specifikke kommandoer med administratorrettigheder. Du bør ikke bruge administrator-kontoen som hovedkonto, da den er mere sårbar over for sådanne automatiske angreb. En standardbrugerkonto er mere end tilstrækkelig til daglige opgaver.

Hvad skal du gøre, hvis du allerede har udført den ondsindede kommando

Hvis du tror, du er faldet for dette angreb, og dit device nu er kompromitteret, så er trinene for at beskytte dit device meget forskellige. Nedenfor er de trin, du kan følge for at beskytte din PC og konti. Sørg blot for at følge dem i den nøjagtige rækkefølge:

• Frakobl fra netværket: det første, du bør gøre, er at frakoble fra netværket, så infostealer ikke kan sende information til C2-serveren. Stjæleprocessen tager tid, så jo hurtigere du handler, jo bedre.
• Ændre kontoens adgangskoder: brug en anden PC eller mobil enhed og nulstil adgangskoderne for alle konti, der var logget ind på den inficerede PC eller havde legitimationsoplysninger gemt på den. Det er nødvendigt at gøre dette trin på en separat enhed og med det samme, da hackere angriber, så snart informationen er modtaget.
• Kør Microsoft Defender Offline Scan: en offline scan slukker PC'en og kører en fuld systemscanning fra et separat (betroet) miljø. Det bør fange infostealer i de fleste tilfælde. I Windows åbner du Windows Sikkerhedsapp ved hjælp af Søg og gå til Virus & trusselbeskyttelse →.

Scanmuligheder → Microsoft Defender Antivirus (Offline scanning).

• Tjek opstarts- og kørende processer: Efter scanningen skal du tjekke alle processer, der kører automatisk ved opstart, samt nuværende kørende processer for at finde og fjerne ondsindede filer. Til dette kan du hente Autoruns og Process Explorer (download og flyt fra en anden enhed offline). Disse apps viser alle processer med informationer, der bekræfter, om en proces er pålidelig eller ej.

• Ændr/gendan Windows: Hvis de ovenstående trin ikke virker, eller hvis du ønsker ro i sindet, kan du nulstille Windows for at sikre, at infostealeren bliver slettet (de fleste er ikke lavet til at overleve en nulstilling). Afhængigt af dit behov kan du gendanne Windows, nulstille Windows eller foretage en ren installation af Windows.

FileFix og lignende ondsindede angreb afhænger i høj grad af phishing og social engineering for at udføre kommandoer. En god tommelfingerregel er aldrig at besvare nogen form for uopfordrede forespørgsler. Du kan også bruge disse online sikkerhedsværktøjer til yderligere at bekræfte mistanker.