CORNFLAKE.V3
Хакеры снова балуются завтраками. На этот раз в меню — CORNFLAKE.V3, свежая версия бэкдора, который распространяется через модную нынче тактику ClickFix. Вместо банальных фишинговых писем злоумышленники суют жертвам фейковые CAPTCHA-страницы, где пользователю предлагают «помочь системе» и вставить команду в Windows Run. Ну а дальше — каша заварилась.
Исследователи из Mandiant (Google) говорят, что за схемой стоит группировка UNC5518, которая продаёт доступ к заражённым системам как сервис. А уж там подключаются другие:
- UNC5774 — чисто «финансовые гурманы», пихают CORNFLAKE ради последующей установки разных полезных зловредов.
- UNC4108 — мотивацию до конца не поняли, но PowerShell у них в руках как швейцарский нож: VOLTMARKER, NetSupport RAT и прочие подарки.
Как работает ClickFix
Жертва кликает по SEO-запоротым результатам или вредоносной рекламе → попадает на страницу «подтвердите, что вы не робот» → копирует в Run зловредный PowerShell → на систему прилетает дроппер → CORNFLAKE.V3 выходит в сеть через Cloudflare-туннели, делая вид, что он «законный трафик».
Возможности у CORNFLAKE.V3:
- запускает любой полезный груз (exe, DLL, JS, батники, PowerShell);
- собирает базовую инфу о системе;
- сидит в реестре для постоянки;
- прилагает дополнительное угощение в виде инструментов для Kerberoasting и ещё одного бэкдора WINDYTWIST.SEA.
В отличие от старой версии CORNFLAKE.V2, которая умела только качать DLL-ки, теперь у нас полноценный комбайн.
Кликнул — попал
ClickFix стал любимым приёмом кибербанд за последний год. Ловят пользователей на «исправь ошибку», «подтверди CAPTCHA» или даже «подтверди аккаунт в Discord». Итог один: человек сам копирует и запускает команду, а автоматические защитные системы хлопают глазами.
На форумах уже вовсю толкают ClickFix-билдеры за $200–$1500 в месяц. В комплекте — странички под Cloudflare, Discord и прочие «правдоподобные» приманки. Продавцы обещают полный обход антивирусов и даже Microsoft Defender SmartScreen.
Бонус-трек: вирусы на флешках
Параллельно Mandiant заметил кампанию с заражёнными USB. В ход идёт целый сет малвари — DIRTYBULK, CUTFAIL, HIGHREPS, PUMPBENCH, а на десерт — майнер XMRig. USB всё ещё работает как дешёвый и эффективный способ пронести заразу сквозь сеть.
ClickFix — это та самая «капча», которую лучше не проходить. А CORNFLAKE.V3 — отличный пример того, как банальная привычка «копировать и вставить» превращается в билет на тёмную сторону.
Берегите себя и свои нервы.
Эта статья - только начало. Настоящие навыки появляются тогда, когда знания превращаются в практику. В Kraken Academy мы собрали полноценные курсы по информационной безопасности с лабораториями, практическими заданиями и пошаговыми образовательными треками - от первых шагов до уровня специалиста.
