BazarBackdoor связывают с TrickBot из-за схожести кода, методов распространения (Ryuk или другими ransomware) и инфраструктуры командных серверов. А также бэкдор использует те же криптеры и механизмы C2 (Command & Control), что и TrickBot, включая Emercoin DNS для скрытого разрешения доменов.
Описание
Злоумышленники, стоящие за BazarLoader, используют различные методы для распространения этого вредоносного ПО среди потенциальных жертв:
- Фишинговые письма.
- Поддельные документы (Word, Excel, PDF) с тематикой COVID-19, жалоб клиентов или финансовых отчетов.
- Ссылки ведут на поддельные страницы Google Docs, где загружается исполняемый файл (например, PreviewReport.DOC.exe), маскирующийся под документ.
В начале февраля 2021 года исследователи начали сообщать о методе распространения BazarLoader с помощью колл-центра. Этот метод использует электронные письма с темой пробной подписки, которые побуждают потенциальных жертв позвонить по указанному номеру телефона. Оператор колл-центра отвечает на звонок и направляет жертв на поддельный веб-сайт компании, чтобы отписаться от услуги. Жертва загружает файл Microsoft Excel с веб-сайта и под руководством злоумышленников включает макросы в загруженном файле Excel. После включения макросов в загруженном файле Excel происходит запуск DLL-библиотеки BazarLoader, которая генерирует URL-адрес, содержащий строку campo. Такой тип URL-адреса называется Campo Loader и действует как шлюз, перенаправляющий трафик на вредоносное ПО. Некоторые примеры URL-адресов Campo Loader, сгенерированных DLL-библиотекой BazarLoader.
Индикаторы компрометации
SHA256
- 01fe11c86a69bca1d91f1d6f3aa776bd7871c57973e6f98915f60dd514ddd913
- 056809e596895320397378f7f3ff4958107e48f4890a960229dcfbc32b7379b7
- 0606be9a1e3e32dc452cdd0ee48c3cecdb045545fa01789f580c197cefd220a4
- 06c38b4c73015d04536d80262bb531183bead459371dd6db86a40dfccbdf236a
- 0e266ef60c8059c2c828de3e77fd68a49e50626d7b0d4d659afd03806247d5bc
- 13141db5db00c63f5f7a2cd33f35d9236956f9ae7767725564693dbab6b14f10
- 151308d22127e12066636627acb269e6ac71aa99cca1ac9dd00b582de3b5e0cd
- 15a1cd485f5b09fa05c46ec81d7eaaaa1e71bfd3b19e3465f555704dbfadce31
- 1681ae715209131c86f885453e3abd627de1edab974294b73789dfd396d2793e
- 16bfc0c0fcb0ccb6bb27cdc4178d08538c0b18c146d93a3a44be5fb15d8d43cb
- 1c293c65680d01a8503c477f7d8f46cfbc62ce4fa6e507a4c0ae7436f33efa08
- 204ddd2c357d7d5a5d30761f2da8363a3d26e1717e90ccc69b00b7be456f4092
- 20cd67833a009771483fed52ad8450d1614df7843715eb67250dd605780d1e8b
- 227b402fe1ad5c40edd6385590dd22add3e493be6c90c813786a1d2a92c5508b
- 27cbaa0a743ded5ed298ba18bb2bca3c9cf605a9d75f7168ea7cc00ac54687b2
- 2ae9a949242e7691ea1df0475a0f266118dc382fd27350b575473d9da9d9fc1f
- 2c9787310c6307f1d169c5dff44455a52a5da01681b45f6ad9c382334c431400
- 2fcc02b25bfccda87b03b1149eeb22379abb5b00f2ea474151979f87ee6a8289
- 3369c4b31d3b5904783ee651d94d78995aa8ac2d6d4b52bc455c17c75845efbd
- 391c2301f9c1b27b489b78bac987e2e61e7923da1342941f3f52618e2d1ee1f8
- 39e79fa4dffb5d3c4099ccd77f9a889a7a0179948862790aeba79c69ffeb8582
- 3a274a44ca7e8c943f9a2d1995d97582886d8f9684b7d5c5b51625f9f833d7ec
- 3eda5bc62ee17d2ba137c4253eacfd9f96926ec071eb583777935c084cdcb604
- 403e6317c3ef24bdacd6ff265a5b93cf43361398cba8918af459fb7072fd8ceb
- 413ca9be6e90c35d5e680ea00891976673cd22446ca31c3dc4e678356737d75c
- 43af28b1e4057888f074b01ddce13b6445b530cf70741d3e3bb65a712dc58775
- 461172b3e91e48945f91e7cb507f02d391bee5b2736ab33ef87c4068da99cabf
- 4d1c7b33d3dd2ec8187bf29971a3785a9103a4dbd97cad37d6fd16f4dc761c0a
- 4e58b94d857970b01c70e8fb4c68c99a409c5eb105e286f521325eb209e19a59
- 580436ddf51ed876d2e1547047288b0640bfd7570ffd7a2ef9074b116ad5f823
- 5b6e4db97888c248d70e6a2ecfe4967b5bb3ffba3e73fc04fcc91da8afe37f81
- 5c03e5522fb03bc224b51be1206728e4cfc5ab6b5a45555c455819e8b5006356
- 5c7a7b0b29a2f51eca70e25936b2f88570b44b0aef504d07b208621df0022103
- 5ee9bc24c82ee40e1a9f98aff8e36388ccea92a9423539e13b927291bebede72
- 6529aee58be4346065cf8f5166c49ecd7dbecfeb179092d0ba9ee4fecbbb0f8d
- 67b5ef18a2155a91980d6ecd5ce2fb73242b47921715095565ba5e7d97922aa6
- 683cf783dffa8ce135496f8f5017fc06268c57874ad79267cb52dfc202dfc3bc
- 6d6ff6f138defb2bb7602c08c1cb22930f5e30ef264eeaf760f99d4ca95beca7
- 701ff2df2c26f4ec31eb39074e0f7da97ad9f8e7e0877558571148db64a343cf
- 7235083a31014473c9a538e102efd9b9549ac454f99a5f8b2c36ccfc69045f0c
- 739a35cdd227b78b2a3f49dff22b9185df7b6da1336dccd0c6f552ae0767397c
- 825e158ac8c57cee3a2d12ba062633e7a955e20d438b6b1b89c435181586a0ef
- 8300b9b7de6fd356541b30ed343c00235bf38fbcbe2325ecd4b6f06b2b711f03
- 8a6adc186c65c1db9026fa07e02e813e059a1463fc89b05c4440e2ddb143bd46
- 8a9014b5a7e0975e760ebb41b5d6cac6e76bf1b3b5c2cb0dfebd94e577a6940b
- 8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7
- 8c908237c4354e3f96af0944dc84fd1d503827226f914a5e711f5415b1cec156
- 8ca38418522c7797e0e2fcf8649b3adb64b70f9ad547f7cdc53a55cacacc0b4e
- 931a10977e46a3a1c810c1e3dad558b511a8fc75bd30e2eb3ffe292428f99847
- 94ab1b1ca2123fccd39b956c9216f53ba56c012553281801d4af035dc1644569
- 95330c3095995c4e018936438d2f6da39cd55d29c52438c8042d39118ac81dc9
- 95c9b5f666e90730d21e342aeac6f101d9c624ace3bd4e8bd7d5d9c541094283
- 98a54d72539d50134f8e95fb95d3807502ca50c2f27990a220c78432a799d461
- 9aa42472f59e5558987ce477e257fdccd61080d4278fe9a92f1c50bda11e4f0f
- 9b04a00b4d03c84705efdee3a1d6290894de48ead187eb5c7a43b46eb51e531c
- 9cc79e32ca74fea9e6a9ed7ab09abfa33d0fb2c3ef8752baed056de05f4b2de6
- 9d6581dbec6c8f74f2d999b5b72a8d8f515bd71c1d0966754374b8a16d3c4bd7
- a05ec823e486a21a5cea8811115ae750c9796f918228566463ed9a9f712238c7
- a144bdfb007c72eaab61f424725107366747afc2252675e2a8992401f581f2b5
- a14e4ee9f2967d2189e7b725cbb7156a5132f55e96ce6497ac0a582d3a696510
- a839e6e8570d4e836ef03ced53d77217cbd3f08558582733da8f60b0a0e6fa83
- aae2cf00546070edda9898e8439236bb06001d46d2649d8a859a5952bb5229dd
- b17773d67198e8ca31b2029789fdbf034dbe7d65e3425dae9c02638fd1da33ee
- b4631d97013e59555487c6c4c93798dd044e8268858eb031f6c324039cdff962
- b4b5161dbce88e4f35a58921fa4e81b9231e2ab92d6e80091bfd9ef4574ef822
- b4d956e037fd49630847b92997906c14d76513ae2f00ffe8ba40d9fd5dae98ad
- bb9387320d69ddd3e4cd4586ae85ffd672d241d112e0199eeda0e59634aea4b0
- bc604d1564b8b0360eb316b6d330d069dd887875db3d1c0cc1e6e8b6d044fa84
- bcfd5b1ab6019b320a299ec62374df157162116b7ab76d2dd852075b2df36d06
- bd24cfc76889b7ec1331547e30f047f3f9b39047bc749e99674262dee07bc8b2
- be0466432cbd09f14c01975d9cbf24ce3539fd245918bd1b567d3cdda8f76324
- c1d2ac7f3abee76af28e858f9d9b5c26bd121bc298280f44cb06e00951cb28d7
- c242a240f6836d70944d4810c9fbc4b2ee7221c5938f483d1ab8579955a4c78f
- c76bb9443baff9e799b3b1cd7c4bd18759ff17acf50f2c3e6f9970caf3015a8f
- c8d4265b3762f38162e9b93563bccf603081de769b9c5c38d41b65872d0c944c
- cd0332bed798951f6e1635b6169e07c41138323490e52fa9f674b6a113156a34
- ce8fa7b1fbc88467678f3d2877c5580a5bf310cc489536a3aaef3f9b8d1db992
- d021f3c83a2fb22da832e301962d63c695194907ab415d0b978858699e22952a
- d4723b2d858287cb8c01f64a00970f089be96ad886e83a1da38e84325fc9b886
- d49953673284c656971ba15caf8a1cc07902ae972836bd282a20aca916d15e45
- d8bcb2ec7da1dd5ea941807b790aa7dfdab9291e1cdc80fee3dc1d6e3b6981e2
- d92bf3350a4b310ab6b7d295a0d1727155ec6d669b2da021c91aa9b565593a7b
- d969d06464b2c8eab75bf45e650020cc88add0bc947643dd24d69bbf34481906
- db53f42e13d2685bd34dbc5c79fad637c9344e72e210ca05504420874e98c2a6
- df38d84cefcaf27b357bf0c678ab22531d5e2886658f5482e9ace04a315828e6
- e335e27175c66affc5c2b571878757b35642699b70250c4221800e47356d4b59
- e4782e0fcb58e3643a293e9792be9d33b2147c96824c110105a198602c587d47
- e8c6014607b1160a2efa1ebc35f71e73e7e08c1e027d8128d985729b61c3d203
- ecf5a6e4dfd2bc3a9a659699ee03e6c5ebcbd3252664245761f1594044f0c5fa
- f2853ce6b6515446daf068272aba80c2c059f2c20e197f32060b9baf6bbd17a2
- f3badf0a258410c281afe6ac253cbd48b1b4be6a656db60813131a3025cd8d11
- f6391f0bb648e3821d88179b2f76426197961c739b7ad88329a91d5a1328cc61
- f8662af41f8a99a17220a0181c3d4c5fd82ca6b522c5da4856f03accf3838a72
- fc3d3e2e605e76289cecb3612bd000471e613bf8841cc4e9c6b9f47b527a3d6a
- fd93b2dd5067d6933d9d06878c75b53bdba8756f092c4ccb1e9ce881bb1ec85c
- fee876283fdd75a8ea08d19c15e9c78755a8cc3135d157609097d2b249e0e7fc
