IBM X-Force предупредил о росте активности трояна DCRat в Латинской Америке, где злоумышленники используют изощренные фишинговые схемы для заражения жертв. В начале мая 2025 года группа Hive0131, вероятно, базирующаяся в Южной Америке, рассылала поддельные уведомления от имени судебных органов Колумбии. Письма содержали ссылки на вредоносные файлы, ведущие к загрузке банковского трояна DCRat прямо в память устройства.
Описание
DCRat, доступный как Malware-as-a-Service (MaaS) на русскоязычных форумах за $7 за подписку, обладает широким набором функций: обход защиты AMSI, кража данных, запись с камеры и микрофона, а также возможность выполнения произвольных команд с сервера злоумышленников. В отличие от кампаний 2024 года, где использовались архивы RAR с GuLoader, новые атаки полагаются на .NET-загрузчик VMDetectLoader, способный обнаруживать виртуальные среды и внедрять вредоносный код в легитимные процессы.
Аналитики IBM X-Force выявили два основных сценария заражения: через PDF-файлы с сокращенными ссылками TinyURL и вложения в Google Docs. В первом случае жертва скачивает ZIP-архив с вредоносным JavaScript, который запускает PowerShell-скрипт для загрузки трояна. Во втором - парольный архив содержит BAT-файл, инициирующий цепочку из VBScript и PowerShell, завершающуюся внедрением DCRat через VMDetectLoader.
Загрузчик, основанный на открытом проекте VMDetector, активно проверяет окружение на признаки анализа, а для обеспечения персистентности создает задачи в планировщике Windows или добавляет автозагрузку в реестр. DCRat же, будучи загруженным, начинает красть конфиденциальные данные, что делает его особо опасным для корпоративных и частных пользователей.
Эксперты рекомендуют усилить контроль за подозрительными письмами, особенно имитирующими официальные органы, и регулярно обновлять системы защиты. Распространение DCRat в Латинской Америке продолжает расти, что требует повышенного внимания со стороны ИБ-специалистов региона.
Индикаторы компрометации
