ChainScript podszywa się pod instalatory Spotify, Zoom Workplace i Teams

Blackpoint Adversary Pursuit Group opisał wcześniej nieudokumentowanego trojana zdalnego dostępu ChainScript, rozsyłanego pod postacią instalatorów Spotify, Zoom Workplace i Microsoft Teams. Atak zaczyna się od zwabienia w stylu ClickFix, które prowadzi do pobrania instalatora uruchamianego przez msiexec.exe. Plik ComponentTask33-4d14e6ac.msi instaluje środowisko Node.js i startuje agenta przez ukryte etapy PowerShell i VBScript, rozkładając składniki w folderze LOCALAPPDATA pod ścieżkami przypominającymi Microsoft. Trwałość zapewnia zadanie zaplanowane z zapasowym kluczem Run w rejestrze, a połączenie z serwerem sterującym idzie przez WebSocket, którego adres agent odczytuje z kontraktu Polygon.

Kogo dotyczy

Użytkownicy Windowsa, którzy pobrali instalator udający Spotify, Zoom Workplace lub Microsoft Teams. Badacze Sam Decker, Andi Ursry i Nevan Beal wymieniają nazwy kompilacji ComponentTask33, UpdateDigital, HostShared i OrchidViolet66. Agent daje interaktywny wiersz poleceń i PowerShell, operacje na plikach, zrzuty ekranu, instalację kolejnych plików, zdalne wykonanie JavaScriptu oraz wyliczanie portfeli kryptowalutowych z aplikacji i rozszerzeń przeglądarki.