BazarBackdoor связывают с TrickBot из-за схожести кода, методов распространения (Ryuk или другими ransomware) и инфраструктуры командных серверов. А также бэкдор использует те же криптеры и механизмы C2 (Command & Control), что и TrickBot, включая Emercoin DNS для скрытого разрешения доменов.
Описание
Злоумышленники, стоящие за BazarLoader, используют различные методы для распространения этого вредоносного ПО среди потенциальных жертв:
- Фишинговые письма.
- Поддельные документы (Word, Excel, PDF) с тематикой COVID-19, жалоб клиентов или финансовых отчетов.
- Ссылки ведут на поддельные страницы Google Docs, где загружается исполняемый файл (например, PreviewReport.DOC.exe), маскирующийся под документ.
В начале февраля 2021 года исследователи начали сообщать о методе распространения BazarLoader с помощью колл-центра. Этот метод использует электронные письма с темой пробной подписки, которые побуждают потенциальных жертв позвонить по указанному номеру телефона. Оператор колл-центра отвечает на звонок и направляет жертв на поддельный веб-сайт компании, чтобы отписаться от услуги. Жертва загружает файл Microsoft Excel с веб-сайта и под руководством злоумышленников включает макросы в загруженном файле Excel. После включения макросов в загруженном файле Excel происходит запуск DLL-библиотеки BazarLoader, которая генерирует URL-адрес, содержащий строку campo. Такой тип URL-адреса называется Campo Loader и действует как шлюз, перенаправляющий трафик на вредоносное ПО. Некоторые примеры URL-адресов Campo Loader, сгенерированных DLL-библиотекой BazarLoader.
Индикаторы компрометации
