NWHStealer: fałszywe instalatory ProtonVPN i YouTube z AI wykradają dane Polaków
Analitycy Malwarebytes ostrzegają przed kampanią NWHStealer, która wykorzystuje fałszywe instalatory popularnych programów i przejęte kanały YouTube z filmikami generowanymi przez AI. Sprawdź, jak rozpoznać zagrożenie i chronić swoje dane.
„Badacze bezpieczeństwa z Malwarebytes ostrzegają przed nowymi kampaniami dystrybuującymi złośliwe oprogramowanie – NWHStealer” – czytamy w analizie opublikowanej na łamach Sekuraka. Cyberprzestępcy wykorzystują zmodyfikowane instalatory popularnych narzędzi, takich jak ProtonVPN, OhmGraphite czy HardwareVisualizer, a także mody do gier i przejęte kanały YouTube z filmikami instruktażowymi generowanymi przez sztuczną inteligencję. Głównym celem malware jest kradzież danych logowania, plików cookies oraz kluczy do portfeli kryptowalutowych.
Jak działa NWHStealer?
Infostealer jest dostarczany na wiele sposobów. W jednym ze scenariuszy atakujący wykorzystali legalną platformę onworks[.]net, która pozwala na uruchamianie maszyn wirtualnych w przeglądarce. Serwis cieszy się wysoką reputacją, co pomaga omijać filtry URL. Cyberprzestępcy umieścili tam złośliwe archiwa ZIP podszywające się pod narzędzia systemowe, takie jak OhmGraphite-0.36.1.zip czy HardwareVisualizer_1.3.1.zip. Wewnątrz znajdował się oryginalny plik WinRAR, który przy uruchomieniu ładował złośliwą bibliotekę WindowsCodecs.dll – w niej ukryty był właściwy kod loadera.
W drugim przypadku analitycy wykryli witryny podszywające się pod ProtonVPN. Fałszywe strony oferowały instalatory, które w rzeczywistości były archiwami ZIP zawierającymi plik wykonywalny i bibliotekę DLL z zaciemnionym kodem malware. Mechanizm ataku opierał się na technice DLL hijacking – po uruchomieniu pliku .exe system automatycznie ładował złośliwą bibliotekę z tego samego folderu. Następnie, korzystając z process hollowing, malware wstrzykiwał ładunek infostealera do zaufanego procesu systemowego, np. RegAsm.exe, działając wyłącznie w pamięci operacyjnej i unikając detekcji.
AI w służbie dystrybucji
Na szczególną uwagę zasługuje model dystrybucji. Cyberprzestępcy masowo przejmowali kanały w serwisie YouTube, a następnie – jak opisują badacze – „wykorzystując sztuczną inteligencję (AI), generowali wiarygodne filmiki instruktażowe, które krok po kroku demonstrowały instalację oprogramowania, zachęcając użytkowników do pobrania zainfekowanych paczek bezpośrednio z opisów pod filmami”. To dowód, że atakujący nie tylko udoskonalają techniki techniczne, ale też inwestują w social engineering na niespotykaną dotąd skalę.
„Wykorzystując sztuczną inteligencję (AI), generowali wiarygodne filmiki instruktażowe, które krok po kroku demonstrowały instalację oprogramowania” – raport Malwarebytes cytowany przez Sekuraka.
Co kradnie NWHStealer i jak się bronić?
Po udanej infekcji malware atakuje nie tylko najpopularniejsze przeglądarki (Chrome, Edge, Brave, Opera, Firefox), ale także inne oparte na silniku Chromium, wstrzykując złośliwe biblioteki DLL bezpośrednio do ich procesów. Ponadto skanuje ponad 25 katalogów powiązanych z portfelami kryptowalutowymi w poszukiwaniu kluczy prywatnych. Wykonuje też szereg poleceń PowerShell, aby wyłączyć usługę Windows Defender, tworzy ukryte foldery i konfiguruje zaplanowane zadania zapewniające trwałość w systemie. Do eskalacji uprawnień wykorzystuje technikę obejścia UAC przy użyciu narzędzia cmstp.exe.
Przechwycone dane są szyfrowane algorytmem AES-CBC i przesyłane na serwer Command-and-Control. Jeśli adres serwera jest niedostępny, malware korzysta z mechanizmu dead drop resolve opartego na Telegramie – pobiera aktualny adres C2 z publicznych kanałów w komunikatorze.
Jak się chronić? Przede wszystkim pobieraj oprogramowanie wyłącznie z oficjalnych stron producentów. Zwracaj uwagę na adres URL – atakujący stosują typosquatting, rejestrując domeny z celowymi literówkami. Nie ufaj filmikom instruktażowym na YouTube, które prowadzą do zewnętrznych linków. Regularnie aktualizuj system i oprogramowanie antywirusowe. W przypadku podejrzenia infekcji uruchom pełne skanowanie systemu i zmień hasła do wszystkich kont, zwłaszcza bankowych i kryptowalutowych.
Kampania NWHStealer to kolejny dowód, że atakujący coraz skuteczniej łączą techniki socjotechniczne z zaawansowanymi metodami ukrywania malware. Warto zachować czujność i nie ufać bezkrytycznie nawet pozornie wiarygodnym źródłom.
