SCMBANKER lừa người dùng ngân hàng Mexico bằng trang CAPTCHA giả và bộ công cụ PowerShell
"Elastic Security Labs reported a banking malware campaign, tracked as REF6045, that uses ClickFix-style fake CAPTCHA pages to trick Mexican banking, fintech, payment, and crypto users into running a malicious PowerShell-based toolkit called SCMBANKER. The malware enables session monitoring, screenshots, clipboard hijacking, phishing redirects, vishing overlays, and RAT deployment, with no CVE disclosed; the reported mitigation is detection and disruption of the multi-stage infection chain and associated infrastructure."
Tác động đáng kể do khả năng chiếm phiên và giám sát hoạt động ngân hàng, kết hợp clipboard hijacking để chuyển hướng giao dịch và triển khai RAT cho điều khiển từ xa.
Nguy cơ gây gián đoạn dịch vụ và tổn thất tài chính cho hệ sinh thái ngân hàng/fintech thông qua phishing/vishing và chiếm quyền thao tác người dùng; cần ưu tiên kiểm soát kênh lây nhiễm để giảm thiệt hại.
Elastic Security Labs ghi nhận chiến dịch mã độc ngân hàng nhắm tới người dùng tại Mexico, được theo dõi với mã REF6045. Điểm khởi đầu là các trang CAPTCHA giả kiểu ClickFix, mạo danh trang xác minh an ninh để dụ nạn nhân thực hiện thao tác chạy một lệnh độc hại. Sau đó, nạn nhân tải và cài SCMBANKER, một bộ công cụ viết chủ yếu bằng PowerShell.
Theo phân tích, các thành phần của SCMBANKER có thể giám sát phiên đăng nhập ngân hàng, chụp ảnh màn hình, chiếm quyền clipboard để thay đổi dữ liệu tài khoản, thực hiện phishing redirect, phủ lớp vishing (cảnh báo giả yêu cầu gọi số điện thoại) và triển khai RAT để điều khiển từ xa. Báo cáo không nêu CVE cụ thể.
Chuỗi lây nhiễm nhiều giai đoạn tận dụng màn hình cập nhật giả, cơ chế nhắc UAC lặp lại, và tải bộ công cụ nền bằng bitsadmin. Nghiên cứu cũng cho biết mã có dấu hiệu được hỗ trợ bởi AI/LLM (tạo nội dung tiếng Tây Ban Nha rồi obfuscation thủ công).
Khuyến nghị: tăng cường giám sát PowerShell, chặn/giảm thiểu thực thi từ kịch bản (batch/vbs/ps1), phát hiện hành vi clipboard hijacking và truy cập hạ tầng C2/redirect, đồng thời rà soát các máy bị ảnh hưởng theo chuỗi lây nhiễm.