Кампания Guildma атакует бразильских пользователей через поддельные письма DocuSign

Кампания привязана к одной стране. Ссылка из письма срабатывает только при обращении с бразильского сетевого адреса. Дополнительно браузер и операционная система жертвы должны использовать португальский язык и бразильские региональные настройки. Если условия не совпадают, сервер отдаёт безобидный установщик среды разработки Android Studio. Проверяющий из другой страны видит обычный файл и не замечает подмены. В результате защитные системы и аналитики просто не получают вредоносного образца. Такой отбор аудитории давно применяется в целевых кампаниях. Он позволяет злоумышленникам подолгу оставаться вне поля зрения международных исследовательских групп.

Схема заражения состоит из нескольких шагов. Сначала жертва скачивает архив, внутри которого лежит ярлык Windows. При открытии ярлык незаметно обращается к внешнему серверу и загружает оттуда код. Затем он прячет полученное содержимое в скрытой области другого файла. Это так называемый альтернативный поток данных, невидимый при обычном просмотре каталога. Скрытый фрагмент служит промежуточным звеном и сам по себе не выглядит вредоносным. Его задача - установить основной компонент, собранный на скриптовом движке AutoIt (средство автоматизации задач в Windows). Эту цепочку описал в своём дневнике SANS Internet Storm Center. Каждый шаг по отдельности выглядит безобидно. Поэтому антивирусные средства часто пропускают атаку целиком.

После установки Guildma закрепляется на заражённом компьютере. Основной компонент размещается в общедоступном каталоге и маскируется под файл журнала. Для связи с управляющими серверами программа использует шифрованный канал. Часть адресов оформлена как инфраструктура популярной облачной платформы, что мешает простой блокировке. Ещё один канал связи проходил через сервис туннелирования, который скрывает настоящий адрес сервера. Позже фиксировались обращения к GitHub и WhatsApp. Эти ресурсы легитимны, поэтому редко вызывают подозрение у средств защиты. Сетевой трафик изучали в анализаторе Wireshark. Содержимое сеансов осталось недоступным, видны были только адреса серверов и время обращения. Подобная маскировка затрудняет поиск вредоносной активности в корпоративной сети.

Целевая аудитория кампании - частные пользователи и сотрудники компаний в Бразилии. Главный риск - кража учётных данных и последующий вывод средств со счетов. Для организаций с филиалами в регионе угроза оборачивается затратами на расследование и простоем рабочих мест. Ситуацию осложняет высокая изменчивость признаков. Хеши файлов и часть сетевых адресов уникальны для каждого заражения. Обнаружить кампанию по статичным индикаторам не получится. Приходится опираться на поведение программ и аномалии в сетевом трафике. Отдельного упоминания заслуживает длительность присутствия. Программа сохраняет работоспособность после перезагрузки и регулярно обновляет свои модули.

Защита строится на базовых мерах. Обновляйте операционную систему и прикладное ПО. Не открывайте вложения и не переходите по ссылкам из неожиданных писем. Проверяйте адрес отправителя и домен, с которого пришло уведомление. Двухфакторная аутентификация усложняет использование похищенных паролей. Организациям стоит ограничить запуск скриптовых вложений и следить за появлением новых задач автозапуска. Тенденция последних лет очевидна: злоумышленники всё чаще фильтруют аудиторию по стране, языку и часовому поясу. Геозональная привязка снижает число случайных срабатываний и продлевает жизнь вредоносной инфраструктуры. Именно поэтому подобные кампании живут месяцами, а иногда и годами. Бразильский регион остаётся одним из самых активных рынков для банковских вредоносных программ.