Лаборатория Orthisec Threat Labs отслеживает кампанию вредоносного ПО GuLoader, направленную на юридические, медицинские и финансовые организации.
GuLoader получил известность благодаря своей роли в распространении многочисленных семейств вредоносных программ, включая NetWire, Lokibot, Xloader, Remcos и другие. Для загрузки полезной нагрузки он использует легитимные сервисы хостинга, такие как Google Drive, OneDrive, GCloud и другие. В этой кампании субъекты угроз использовали GuLoader для доставки Remcos RAT (троян удаленного доступа), используя github.io в качестве источника для загрузки полезной нагрузки.
Indicators of Compromise
Domains
- apdfhost.online
URLs
- http://quickcheckx.github.io/quickme/KmJiw22.bin
- http://quickcheckx.github.io/quickme/Panzersti.lpk
- http://quickcheckx.github.io/quickme/Udgan.u32
- http://quickcheckx.github.io/quickme/XbuLYedqxf70.bin
- http://zeusblog.cloud/Adobe.pdf
SHA256
- 06b3c92f9718da323c4d3a18d69629696dc5f799a7ddaef4e7415d117b345af4
- 0873011390fd1d2dce527a726607255693c306774dfed8ac6b5b88efd4920d48
- 2438bfe409fb32b18fca95f95fff85a778502553ce627d0f25e54653c84e0e0c
- 2ba636d017b5df7a706b4dfede215733807fff6db5fea202e4a5b6bf515ba8b4
- 2d343c091484eac696a23418f04df81c35bc538a10d25193ad014d11c4422907
- 3c5d19be4d5e1f600c31f837b9650ad8c7508d6691f6cd4889d2178809703de7
- 584f1b20d6a1939933663dd57e13603c7fe664f81a117f0d5456b4d448506b7d
- 60d70005c38b331cd46b8af0f8e3d8cf181bdf43fb685a1962b1e26e085a6e2a
- 7add364a2a13388cc035e5f082f7adbb76c1e60d82748acd3eb30d6c9b3ce5be
- 8ef6d783f8aaffffdecfa13bcc20b4f1a18f6c4c3c4cc22e93fb5c8d753ca338
- a3855846b501325a4b11cbc27fac9f845a56c91e088edbd75fb5ab651f913ede
- a66b1a9fcf5d5fecd53152ecf68be150028109f484ad349d7029d72b3c5c9564
- a86c6baa5323f07155cf414cdfd667216fb2816ec999ad240042c78b86175492
- a8f7f8900375ad8d2fda626f098cdda95bb4e42855cbae91c290d3f020bfd45f
- c766754790aaf298acbf85229096d8f0493fa9ee64d429facd425e30ceceaa4b
- f78e18ae09d30f4062de466afb5e1de5041b6cda445b15a3cca912a3294f731a