Hai loader mã độc mới phát tán Amatera và đánh cắp mật khẩu Windows
"Researchers identified two new malware loaders, WordlistLoader and SynkLoader, being used in phishing and ClickFix-style campaigns to deliver Amatera Stealer and harvest Windows credentials. WordlistLoader is delivered through compromised websites and WebDAV-based execution chains, while SynkLoader is pushed via Microsoft Teams phishing; the article does not describe a software patch or CVE, but notes evasive techniques such as ETW bypass, reflective loading, and obfuscated PowerShell/command execution."
Rủi ro cao do đánh cắp thông tin đăng nhập, phát tán Amatera Stealer và các kỹ thuật ẩn mình, né phát hiện. Môi trường Windows có thể bị xâm nhập qua phishing và chuỗi thực thi từ xa.
Có thể gây rò rỉ tài khoản nội bộ, tăng nguy cơ xâm nhập sâu và gián đoạn vận hành. Doanh nghiệp cần xử lý sớm để giảm chi phí ứng phó sự cố và nguy cơ lây lan.
Các nhà nghiên cứu an ninh ghi nhận hai họ mã độc mới là WordlistLoader và SynkLoader đang được dùng trong các chiến dịch phishing và ClickFix để phát tán Amatera Stealer và thu thập thông tin đăng nhập trên Windows.
Theo Gen Digital, WordlistLoader được phân phối qua các website bị xâm nhập và chuỗi thực thi dựa trên WebDAV, sau đó tải và chạy Amatera. Kỹ thuật ClickFix/FakeCaptcha lừa người dùng sao chép rồi dán lệnh vào hộp thoại Run của Windows, trong khi mã độc tận dụng conhost.exe, rundll32.exe, PowerShell bị làm rối và tải thực thi ẩn để giảm khả năng bị phát hiện. Một số biến thể còn dùng EtherHiding và nội dung JavaScript lưu trên blockchain hoặc CDN hợp pháp như jsDelivr.
SynkLoader được phát tán qua Microsoft Teams phishing, hiển thị màn hình khóa giả để đánh cắp Windows credentials. Báo cáo không đề cập bản vá hay CVE cụ thể.
Khuyến nghị: tăng giám sát các tiến trình cmd.exe, rundll32.exe, MSHTA, lưu lượng WebDAV/HTTPS bất thường, chặn thực thi lệnh từ người dùng cuối, và đào tạo nhân viên nhận diện yêu cầu CAPTCHA hoặc tin nhắn Teams đáng ngờ.