Попалась очередная атака от Lazarus.
Сайт для прохождения собеседований. В данном случае на позицию маркетолога. После прохождения опроса из нескольких задач для успешного видеозвонка просит обновить драйвера, открыв командную строку и вставив нужную команду. Все бы ничего, да только в буфер обмена приходит немного расширенная команда, скачивающая полезную нагрузку
😂
Забавный момент:для симуляции установки драйверов запускается vbs скрипт с таким содержанием:
Set objShell = CreateObject("WScript.Shell")
Set objFSO = CreateObject("Scripting.FileSystemObject")
objShell.Run "cmd /c title NVIDIA Display Driver Update Utility", 0, False
objShell.Run "cmd /c color 0A", 0, False
objShell.Run "cmd /c cls", 0, False
WScript.Echo ""
WScript.Echo "================================================"
WScript.Echo " NVIDIA Display Driver Update Utility"
WScript.Echo "================================================"
WScript.Echo ""
WScript.Echo "[INFO] Scanning for compatible hardware..."
WScript.Sleep 333
WScript.Echo "[INFO] Detected: NVIDIA GeForce Graphics Adapter"
WScript.Sleep 1167
WScript.Echo "[INFO] Current driver version: 536.99"
WScript.Sleep 500
WScript.Echo "[INFO] Available driver version: 581.80 (WHQL)"
WScript.Echo ""
WScript.Sleep 400
WScript.Echo "[STEP 1/5] Preparing driver installation..."
WScript.Sleep 2330
WScript.Echo " Status: Checking system compatibility"
Call AnimateDots(3, 50, 150)
WScript.Echo " OK"
WScript.Sleep 667
WScript.Echo " Status: Verifying disk space"
Call AnimateDots(3, 80, 200)
WScript.Echo " OK (2.1 GB required)"
WScript.Sleep 167
WScript.Echo " Status: Creating system restore point"
Call AnimateDots(4, 50, 150)
WScript.Echo " OK"
WScript.Sleep 67
WScript.Echo " Status: Preparation completed"
WScript.Echo ""
WScript.Sleep 67
Почитать про подобные киллчейны от этой группировки и их деанон можно тут -
ссылка IOCs:
breezyhr[.us
api.bitken[.cloud
93.127.215[.188
187.77.220[.50
❤
@tinyscope | ❤
@seclemur |❤
@threat_chat
