Фишинговая атака! Под видом делового письма скрывается вирус-кейлогер

Фламинговое письмо

Тема: CB 13407 521051 Confirmation Pricing (Обратите внимание на опечатку: "Confirmation" написано как "Confirmation"? В оригинале в вопросе написано "Confirmation" - это явная ошибка, характерная для фишинга).

Отправитель: Маскируется под Greg Crammond, Global Director of Quality Control, Master Fluid Solutions (Perrysburg, Ohio).

Текст письма выглядит как стандартный деловой запрос (уточнение предложения, увеличение MOQ, сжатые сроки). Это рассчитано на автоматическую реакцию сотрудников, работающих с закупками/продажами.

Настоящая цель письма - вложение. Оно выглядит как "деловой" документ, упомянутый в теме или якобы приложенный ("Confirmation Pricing").

Вопрос "are you on whatsapp?" - еще один тревожный сигнал. Мошенники часто стремятся увести общение в менее контролируемые мессенджеры для дальнейшего фишинга или социальной инженерии.

Обращение "Hi Dear": Нехарактерно для профессиональной переписки от директора крупной компании.

Грамматические ошибки и странные формулировки: "Malay" вместо "Malaysia", "please kindly check if it is OK", "make this quantity ready", "october ending" - звучит неестественно для носителя языка.

Вредоносный файл

По предварительному анализу вредоносный файл является Snake Keylogger. Вирус собирает информацию о системе, данные из браузеров.

Проверяет информацию о внешнем IP адресе, с использованием следующих служб:

• checkip.dyndns.org
• reallyfreegeoip.org

Данные отправляются по электронной почте, с использованием TLS SMTP сервера mail.endermekanik[.]com и через api.telegram.org

Тактики MITRE