Вредоносный ярлык маскируется под пиратские копии популярных фильмов

Независимый ИБ-эксперт 0xffff0800 обнаружил LNK-вредонос, который распространяется через пиратские сайты под видом популярных фильмов, сообщает Threatpost. Опасный ярлык умеет демонстрировать нежелательную рекламу, продвигать сомнительное ПО и красть криптовалюту.

Исследователь обнаружил вредонос на сайте The Pirate Bay, когда решил скачать фильм «Девушка, которая застряла в паутине». У выбранной им раздачи было свыше 2,3 тыс. сидов. К удивлению пользователя, после загрузки он увидел не мультимедийный файл, а LNK-ярлык. Проверка онлайн-сканером VirusTotal показала, что в нем содержится вредоносный код.

Технически LNK-эксплойты — это обычные ярлыки Windows, где вместо пути к целевому объекту прописаны команды PowerShell. Разработчики Microsoft предусмотрели эту функцию, чтобы пользователь мог открыть файл, программу или папку с предустановленными опциями. Злоумышленники могут таким образом доставить и исполнить на компьютере практически любой вредоносный код.

Новый вредонос можно отнести к рекламному ПО, однако его функции не ограничиваются показом нежелательных баннеров. Как выяснили эксперты BleepingComputer, троян умеет подменять поисковую выдачу Google и Yandex, встраивать текстовые модули на страницы Wikipedia и менять адреса BTC-кошельков, где бы он их ни обнаружил.

Открытие зловредного ярлыка запускает цепочку команд, которая приводит к скачиванию полезной нагрузки в папку %AppData%. Троян также пытается закрепиться на компьютере, добавляя себя под названием Smart Monitoring в список служб, однако терпит неудачу, поскольку злоумышленники допустили в соответствующей команде синтаксическую ошибку.

Скрипт вносит изменения в реестр Windows, отключая встроенный в систему антивирус, и устанавливает зловредные расширения в Firefox и Chrome. После этого при каждом открытии браузера вредонос связывается с удаленной базой данных и скачивает оттуда javascript-код, который внедряет в интернет-страницы.

В результате пользователь начинает видеть баннеры на главной странице Google, а в поисковой выдаче по ИБ-запросам появляются ссылки на малоизвестный антивирусный продукт. По словам экспертов, вредоносный скрипт также продвигает торрент-трекеры и криптовалютные ресурсы через социальную сеть «ВКонтакте».

Описанная атака не работает, если пользователь сам не открывает LNK-файл. Таким образом, чтобы защититься от нее, достаточно внимательно следить за свойствами скачанных файлов.

* * *