Злоумышленники распространяют встроенный майнер и вредонос для кражи криптовалют через поддельные расширения пакета Microsoft Office. Об этом сообщили эксперты компании «Лаборатория Касперского».
Хакеры действуют через популярный портал для хостинга ПО SourceForge. Они разместили на сайте проект под названием officepackage с предложением дополнений к офисным программам, легитимно скопированных с GitHub.
Но при переходе по ссылке пользователю предлагается широкий список приложений Microsoft Office с возможностью скачать.
Данные: «Лаборатория Касперского».
Открыв модифицированный файл-инсталлятор, жертва запускает процессы, которые обходят защиту, устанавливают связь с сервером злоумышленников, внедряют майнер и ClipBanker. Этот вредонос подменяет адреса криптокошельков в буфере обмена, позволяя хакерам красть активы при проведении транзакций.
По оценке специалистов, хакерская кампания нацелена в первую очередь на русскоязычное пространство. Ее жертвами стали не менее 4604 пользователя, 90% которых находятся в РФ.
После прекращения работы в стране большинства сервисов Microsoft официальные продукты офисного пакета корпорации стали недоступны. Это породило спрос на альтернативные источники загрузки. Многие предпочитают пользоваться порталами вроде SourceForge, вызывающими больше доверия с точки зрения нежелательных последствий, чем и пользуются злоумышленники, отметили в «Лаборатории Касперского».
Напомним, в марте специалисты Threat Fabric выявили вирус-троян, нацеленный на банковские приложения и криптокошельки на Android.