Исследователи Unit 42 выявили целенаправленную кампанию вредоносного ПО, направленную на португальские организации, особенно в правительственном, финансовом и транспортном секторах, с использованием ПО Lampion - похитителя конфиденциальной банковской информации.
Описание
Группа злоумышленников обновила свой арсенал приманкой ClickFix, методом социальной инженерии, с целью убедить жертв скопировать и выполнить вредоносные команды. В атаках использовались скрипты Visual Basic с высокой степенью обфускации и схожие темы социальной инженерии.
Анализ показал сходство текущей кампании с предыдущими активностями Lampion по целям, инфраструктуре и тактике. Важность обладания расширенными средствами обнаружения для борьбы с сложными и обфусцированными угрозами была подчеркнута.
Цепочка атак начинается с фишингового письма, редиректа на поддельный сайт налогового органа и предложения жертве скопировать вредоносную команду PowerShell, что заставляет запустить обфусцированный VBS-файл, часть вредоносной кампании Lampion. Сервер C2 и методы TTP совпадают с предыдущими кампаниями Lampion, усиливая связь между ними. ClickFix используется в атаках социальной инженерии для заражения жертв.
Анализируя ход кампании Lampion, Unit 42 выявили сходства с прошлыми атаками и методы внедрения вредоносных программ.
Индикаторы компрометации
