Havoc Framework используется фишинговой кампанией для управления зараженными системами

@Ded_Theburnet Согласно новому предупреждению от FortiGuard Labs, кампания начинается с фишингового электронного письма, содержащего вложение в формате HTML под названием «Documents.html». Вложение содержит атаку ClickFix — тактику социальной инженерии, которая обманом заставляет пользователей копировать и выполнять вредоносную команду PowerShell. После выполнения эта команда загружает удаленный скрипт PowerShell с URL-адреса, расположенного на сервере SharePoint. Этот скрипт сначала проверяет наличие изолированных сред, прежде чем изменять записи системного реестра для установления маркеров заражения. Если интерпретатор Python не найден, скрипт загружает его, прежде чем извлечь и запустить скрытый загрузчик шеллкода Python. Этот загрузчик содержит сообщения об ошибках на русском языке и предназначен для выполнения кода в памяти, что позволяет злоумышленникам сохранять активность.