Команда исследователей безопасности eSentire, Threat Response Unit (TRU), обнаружила, что незаметная вредоносная программа more_eggs вновь появилась в этом году, заражая предприятия.
More_eggs
More_eggs - это вредоносное программное обеспечение, содержащее несколько компонентов, предназначенных для кражи ценных учетных данных, включая имена пользователей и пароли для корпоративных банковских счетов, учетных записей электронной почты и учетных записей ИТ-администраторов.
TRU обнаружила фишинговую кампанию more_eggs, в ходе которой хакеры выдают себя за соискателей и заманивают менеджеров по найму корпораций загрузить, как они считают, резюме от соискателей. Однако в фиктивных резюме содержится вредоносная программа more_eggs.
На данный момент TRU обнаружила и закрыла четыре отдельных инцидента безопасности, связанных с текущей кампанией more_eggs. Три из них произошли в конце марта, а атакованные организации включают американскую аэрокосмическую/оборонную компанию, крупную британскую фирму CPA, международную юридическую компанию, базирующуюся в Канаде, и национальное канадское кадровое агентство.
More_eggs - это скрытная и опасная вредоносная программа, состоящая из нескольких компонентов, предназначенных для кражи ценных учетных данных, таких как имена пользователей и пароли для корпоративных банковских счетов, учетных записей электронной почты и учетных записей IT-администраторов. Получив доступ, хакеры уносят данные из организации-жертвы, распространяют их на другие компьютеры через TeamViewer и шифруют файлы.
Indicators of Compromise
IPv4
- 3.144.120.98
Domains
- jamesreuther.com
URLs
- http://jamesreuther.com/wmnxjogbfnM
- http://jamesreuther.com/wmnxjogbfn
- http://jamesreuther.com/wmnxjogbfni
- http://jamesreuther.com/wmnxjogbfnd
- http://jamesreuther.com/wmnxjogbfn4
- http://jamesreuther.com/wmnxjogbfnS
- http://jamesreuther.com/wmnxjogbfnu
SHA256
- 0d5b74add9fd68c54d8c7df883fa727d74dacc0bff3c49afd200b914e6051d9a
- 822e1359b7e7eabc9199a055fd772819176d2e5cae63d0d24787579634d45d42
- 86680bef3d1e41f369ab60acf8198496a367fbb7183d5f1104230a74d32705b3
- d6906cb7f9fb0f9cd12943509a1bb5e9409a4547a18f930b071d5c330e6c97f9
- 88b0b1d9988fb2a42934f862944be0b32d00cb5e6ffc71e3164fa7c4cacff62d
File path
- c:/users/<username>/appdata/roaming/microsoft/msxsl.exe
- c:/users/<username>/appdata/roaming/microsoft/ie4uinit.exe