Casbaneiro атакует клиентов банков Латинской Америки под видом счетов и судебных уведомлений

Первый этап - рассылка сообщений. Письма и вложенные документы оформлены как срочные уведомления. В них упоминаются неоплаченные счета, штрафы и якобы начатые юридические процедуры. Для убедительности авторы указывают в тексте адрес электронной почты получателя. Это создаёт впечатление персонального обращения. Кроме того, доменные имена в документах относятся к странам региона. Поэтому человек воспринимает письмо как местное и ожидаемое. Такой отбор аудитории снижает риск лишнего внимания со стороны тех, кто не относится к целевой группе. В результате вероятность перехода по ссылке заметно возрастает.

Ссылка из письма ведёт на промежуточную страницу. Она проверяет, из какой страны пришёл посетитель. По данным FortiGuard Labs, при несовпадении региона человека перебрасывают на обычные сайты вроде YouTube или Google. Если адрес относится к целевой стране, браузер начинает скачивать архив. Пользователь видит стандартное уведомление о загрузке. После завершения процесса страница становится пустой. Такой приём усиливает ощущение обычного действия и не вызывает подозрений. Дополнительно злоумышленники избегают контакта с системами защиты и исследователями, которые работают из других стран.

Внутри архива находится скрипт-загрузчик следующего этапа. Он обращается к внешнему ресурсу и получает дополнительный сценарий. Тот проводит проверку окружения. В частности, выясняется, не работает ли компьютер в изолированной среде для анализа. Также определяется язык системы. Если он не входит в заданный список, выполнение прекращается. Затем загружаются три отдельных компонента: служебная программа для исполнения сценариев, сам сценарий и сжатый файл. Поодиночке они не выглядят опасными. Это заметно затрудняет их выявление при проверке файлов. Для закрепления в системе создаётся элемент автозапуска. Помимо этого, появляется папка-отметка, которая мешает повторному заражению того же устройства. Во время работы демонстрируется окно, похожее на системную службу Windows. Оно отвлекает внимание владельца и создаёт видимость штатного обновления.

Финальная программа Casbaneiro получает управление после запуска сценария. Она расшифровывает служебные строки, среди которых адреса криптовалютных кошельков и адрес сервера для передачи данных. Затем проверяется язык системы: на немецком, французском и английском работа прекращается. Далее программа собирает адреса из адресной книги и сведения об отправителях и получателях писем в Microsoft Outlook. Собранные данные уходят на сервер в незашифрованном виде. Это повышает ценность добычи для злоумышленников и упрощает её дальнейшее использование. Поскольку сведения передаются без защиты, их может перехватить и сторонний наблюдатель в той же сети.

Функции Casbaneiro включают управление клавиатурой, подмену содержимого буфера обмена, запуск файлов и команд, а также показ поддельных окон банков. Подмена буфера обмена особенно опасна: человек копирует номер счёта, а вставляется чужой реквизит. Коммуникация с командным сервером начинается только тогда, когда жертва открывает сайт банка из подготовленного списка. До этого момента программа молчит. Один из серверов намеренно отвечает отказом доступа. Если ответ иной, запрос повторяется. Такой приём вводит в заблуждение. Проверяющий может решить, что инфраструктура не работает, и пропустить настоящий командный сервер. В итоге часть следов остаётся незамеченной.

Анализ осложняет и распределение добычи. Разные типы данных отправляются на разные серверы и в разное время. Связь между сетевыми соединениями становится неочевидной. Кроме того, часть сетевых пакетов имеет искажённый формат. В них отсутствует обязательный заголовок, а объём данных указан необычно большим. Это затрудняет разбор трафика и работу средств сетевого контроля. В сочетании с отложенным запуском такие меры делают инфраструктуру почти невидимой для автоматических систем.

Последствия для банков региона серьёзны. Утечка переписки раскрывает клиентские связи и коммерческие договорённости. Поддельные окна позволяют уводить платежи без ведома человека. Потеря доверия клиентов обходится дороже прямых потерь. Для защиты стоит обновлять системы, ограничивать права пользователей и проверять необычные сетевые обращения. Полезно вести наблюдение за активностью на сайтах, где ранее отмечались вредоносные вставки. Клиентам важно перепроверять отправителя письма. Не стоит открывать вложения из сообщений о долгах, штрафах и судах. Двухфакторная аутентификация снижает ущерб от перехваченных данных. Отдельного внимания требует контроль вставки из буфера обмена при проведении платежей. Организациям финансового сектора имеет смысл сегментировать сети и следить за обращениями к внешним ресурсам в нерабочие часы. Тенденция к географически точным и хорошо замаскированным кампаниям сохраняется, поэтому расслабляться рано.