GuLoader - это вредоносная программа-загрузчик, которая загружает дополнительные вредоносные программы и запускает их. В прошлом он был упакован с помощью языка Visual Basic, чтобы обойти обнаружение, но теперь он распространяется в виде установщика NSIS. Раньше он был известен как CloudEye, но получил название GuLoader, поскольку Google Drive часто используется в качестве URL-адреса загрузки. Помимо Google Drive могут использоваться различные URL-адреса, такие как One Drive от Microsoft и Discord.
Вместо того чтобы загружаться в виде файла, GuLoader загружается в память, чтобы избежать обнаружения, и загруженный файл кодируется, а не записывается в PE. После декодирования в памяти он исполняется, загружая вредоносные программы, такие как Infostealers (Formbook и AgentTesla) и RAT (Remcos и NanoCore).
Поскольку большинство из них распространяется через спам-письма, замаскированные под счета-фактуры, отгрузочные документы и заказы на поставку, имена файлов содержат такие слова, как показано выше (Invoice, Shipment и P.O. - Purchase Order). Некоторые образцы имеют расширения, замаскированные под файлы документов, такие как pdf и xlsx, или файлы чертежей Auto CAD, такие как dwg.
Indicators of Compromise
URLs
- http://156.96.113.118/mBkwl189.bin
- http://194.180.48.211/nibro/wHiiH26.bin
- http://194.59.218.151/cautnDynEWFuQDcr13.bin
- http://194.59.218.151/GXFckquqUZuCKmRXGvLpRrIB64.bin
- http://194.59.218.151/iuIje150.bin
- http://194.59.218.151/ogqsoyvQUVxNbPnp100.bin
- http://hungars.eu.org/rarataz/yXWYtlEVamUfrQPM66.bin
- http://www.conexclean.ro/Layblock/xiakxoxJKOHxLam198.bin
- http://www.conexclean.ro/medlab/xiakxoxJKOHxLam198.bin
- https://drive.google.com/uc?export=download&id=1k7S-2GZMC_JRBQNA2Iid2iwqulM8MrlM
- https://drive.google.com/uc?export=download&id=1ZjWD9VBh6pUrS1nsegWPvBNKF40xegE3
- https://onedrive.live.com/download?cid=B3A4F33189E0D368&resid=B3A4F33189E0D368%21108&authkey=ACmZ5gPUu1ORstc
- https://www.autoriasztoshop.hu/playX/GQPYcjbsP104.bin
