У повідомленнях про інфостілер Lunex описано схему, за якої шкідлива програма нібито використовує вразливий драйвер AMD для послаблення захисних механізмів Windows. Це важливо не тільки через можливе викрадення паролів: під загрозою можуть бути cookie браузера та дані криптогаманців, а антивірус при цьому здатен зовні виглядати активним.
Lunex пов’язують із Psychedelic Stealer та моделлю MaaS
За наявним описом, кампанію з поширення Psychedelic Stealer через скомпрометовані українські сайти пов’язують із кримінальною платформою Lunex. Її нібито пропонують за моделлю malware-as-a-service, коли інструменти для атак надають іншим зловмисникам як послугу.
Водночас ці твердження потребують обережного сприйняття. Незалежного первинного технічного звіту від дослідників, AMD, Microsoft або іншої профільної організації, який би підтверджував саме цю кампанію, не знайдено. Тому не можна вважати встановленими ані її масштаб, ані кількість постраждалих, ані рівень компрометації українських сайтів.
Вразливий драйвер може стати інструментом BYOVD
Описана схема належить до класу BYOVD, або bring your own vulnerable driver. Її суть у використанні легітимного драйвера з відомою вразливістю для отримання можливостей, яких звичайна програма не повинна мати. У цьому випадку йдеться про заявлене застосування драйвера AMD для вимкнення чи послаблення компонентів захисту Windows.
Центральний ризик у тому, що антивірус не обов’язково зникає з системи або припиняє запускатися. Він може залишатися видимим для користувача, хоча частину його захисних механізмів уже намагаються нейтралізувати. Сам факт існування BYOVD-атак не доводить конкретно описану активність Lunex, але пояснює, чому використання вразливого драйвера є небезпечним етапом ланцюга зараження.
Cookie браузера можуть бути цінними нарівні з паролями
Згідно з описом, після послаблення захисту шкідник націлений на паролі, файли cookie та дані криптогаманців. Cookie можуть містити відомості про активну сесію у вебсервісі. Тому інтерес зловмисників не обмежується збереженими паролями: захоплені дані сесії потенційно дають змогу отримати доступ до вже авторизованого облікового запису без повторного введення пароля.
Для власників криптогаманців окремим ризиком є викрадення даних, пов’язаних із гаманцем. Саме поєднання доступу до браузера, активних сесій і фінансових даних робить інфостілери небезпечними навіть тоді, коли захисне програмне забезпечення, на перший погляд, продовжує працювати.