Хакери використовують популярну програму Notepad++ для прихованих атак

Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, що діє при Держспецзв’язку, попереджає про зміну тактик хакерського угруповання UAC-0099. Останнім часом зловмисники почали використовувати легітимну програму Notepad++ для прихованого запуску шкідливого коду.

Крім того, хакери оновили свій арсенал, застосувавши в ході цієї атаки нові інструменти – Lunchpoke, Burnybear та оновлену версію завантажувача Matchboil.V2.

Зазвичай жертва спочатку отримує електронний лист із вкладеним зображенням. Натискання на нього відкриває гіперпосилання, яке веде до файлового сервісу, звідки на комп’ютер завантажується ZIP-архів із типовою назвою на кшталт «Додатки до розпорядження. zip».

Всередині архіву прихований шкідливий VBS-скрипт із подвійним розширенням, де для обману жертви хакери додають багато пробілів перед справжнім форматом (наприклад, «Заводський район. pdf. vbs»).

У разі запуску цього скрипту на екран виводиться звичайний документ-приманка, проте у фоновому режимі непомітно завантажується інший архів із повним набором компонентів легітимної програми Notepad++ (версії 8.8.3), шкідливим плагіном NppExport.dll та іншими компонентами.

В результаті запуск стандартного системного файлу notepad++.exe автоматично активує цей вірусний плагін, завершуючи процес інфікування.