מנהל האבטחה מצא את הקובץ הזדוני, מחק אותו והפעיל את המחשב מחדש. התוקף המשיך לראות את רשימת הכוננים, לקרוא קבצים ולהריץ תוכנות. מה שנשאר במחשב לא היה קובץ בכלל אלא שורה אחת ברישום של ווינדוס, שאומרת לכרום שמותר לו לדבר עם תוכנה חיצונית.

מה קרה

חוקרי חברת Ontinue פירקו את שרשרת ההדבקה שמאחורי Psychedelic, נוזקת גניבת המידע שהופצה דרך מסכי אימות מזויפים של Cloudflare, ומצאו שהיא רק החלק הגלוי של פלטפורמה שנמכרת לעבריינים בשם Lunex.

לפני שהנוזקה עצמה יורדת, השלב שמקדים אותה מתקין דרייבר אמיתי וחתום של AMD שתפקידו לעדכן קושחה של חיבורי USB-C. בדרייבר הזה יש חולשה שדווחה עוד ב-2023 (CVE-2023-20598): הוא מקבל פקודות לקרוא ולכתוב בזיכרון הליבה של המערכת בלי לבדוק מי שולח אותן. התוקפים מנצלים את זה כדי לאפס בזיכרון את הרשומות שמוצרי האבטחה רשמו לעצמם, ולפי הדוח הרשימה מכסה 20 דרייברים של Defender, קספרסקי, ESET, Dr.Web, CrowdStrike ו-SentinelOne. לשיטה הזאת, של הבאת דרייבר פגיע משלך במקום חיפוש חולשה במערכת עצמה, קוראים BYOVD. מה שמייחד את המקרה הוא שהמוצרים לא נסגרים. הם ממשיכים לרוץ, הסמל שלהם נשאר ירוק, והם פשוט מפסיקים לקבל התראות.

רק אז מתחילה הגניבה עצמה: סיסמאות, cookies של חשבונות מחוברים, פרטי כרטיסי אשראי ומילוי אוטומטי של טפסים משבעה דפדפנים מבוססי Chromium, וגם נתונים מתשעה סוגי ארנקי קריפטו, בהם MetaMask. לפי Ontinue היא מפענחת גם את שכבת ההצפנה החדשה של כרום, זו שרוב נוזקות הגניבה המתועדות עדיין לא מתמודדות איתה.

ואז מגיע המנגנון שהחוקרים מסמנים כמשמעותי מכולם. הנוזקה בונה שלוש דרכים להישאר במחשב, ושתיים מהן מוכרות וקל למצוא. השלישית היא רישום של Native Messaging Host, מנגנון לגיטימי שנועד לאפשר לתוסף בדפדפן לדבר עם תוכנה במחשב. הוא נרשם בכרום ובאדג' ונותן לתוקף לרשום כוננים, לקרוא כל קובץ, לכתוב לכל נתיב ולהריץ תוכנות. הוא שורד מחיקה של הנוזקה, אתחול וסגירה של הדפדפן.

למה זה חשוב לכם

הקמפיין שנבדק מכוון לדוברי אוקראינית, דרך אתרים עסקיים אוקראיניים שנפרצו, ולכן גולש ישראלי אינו היעד הנוכחי. אבל Lunex נמכרת לכמה קבוצות: החוקרים מצאו 28 לוחות בקרה ב-13 מדינות, לעומת שישה שתועדו ביוני, ובאחד מהם התגלו דומיינים שמתחזים למותגים בינלאומיים. תרגום דף הפתיחה לעברית הוא עבודה של יום.

מה שנכון בכל גרסה של הקמפיין הוא מה נלקח. סיסמה ששמורה בדפדפן וה-cookie של חשבון מחובר מספיקים כדי להיכנס לחשבון בלי הסיסמה ובלי האימות הדו-שלבי. וההנחה שמחשב נוקה כי האנטי-וירוס מצא בו קובץ אחד היא בדיוק הפער שהמנגנון בדפדפן בנוי לנצל.

מה עושים?

אם אתם חושדים שמחשב נגוע, החליפו סיסמאות ממכשיר אחר, ואחרי ההחלפה נתקו את כל ההתחברויות הפעילות בחשבון. בחשבון גוגל זה נעשה במסך האבטחה, בקטע המכשירים המחוברים. החלפת סיסמה לבדה לא מבטלת cookie שנגנב.

אחרי כל ניקוי של נוזקה, פתחו את רשימת התוספים בכתובת chrome://extensions והסירו כל מה שאינכם מזהים. אם מצב המפתחים דלוק ולא אתם הדלקתם אותו, משהו נגע בהגדרות.

אל תדביקו בחלון ההרצה של ווינדוס פקודה שאתר ביקש מכם להעתיק, גם אם הדף מסביר שזו בדיקת אבטחה. זו הדלת שדרכה השרשרת הזאת מתחילה.

הדרייבר שאיפשר את כל זה נחתם בדצמבר 2022, והחולשה בו פורסמה כבר ב-2023. ווינדוס מרשה לו להיטען כי החתימה שלו תקפה, לא כי הוא מתנהג בסדר.