Центр экстренного реагирования на чрезвычайные ситуации AhnLab Security (ASEC) обнаружил случай распространения вредоносного ПО, использующего в качестве приманки продажу персональных данных. В этой атаке использована техника социально-инженерного взлома. ASEC предоставляет вам информацию о недавно обнаруженных случаях распространения вредоносного ПО с использованием техники социально-инженерного взлома.
Веб-сайт, используемый атакующим в качестве места распространения, с множеством файлов, содержат личную информацию, а в названиях файлов присутствуют ключевые слова, связанные с инвестициями, такие как "чтение", "нелистинговый", "дневная торговля" и "среднесрочная и долгосрочная".
На сайте распространения вредоносного ПО атакующий разместил файлы с многочисленными персональными данными - всего более 8500. Помимо имен и номеров телефонов, в файлах содержались суммы личных инвестиций и кредитные рейтинги.
Было подтверждено, что эти персональные данные используются распространителем вредоносного ПО и маскируются под продажу для распространения вредоносного ПО . Скрип выполняющий реальное поведение при заражении вредоносным ПО, и файл с персональными данными были загружены и выполнены. Поскольку выполняемое вредоносное ПО не отображается в виде скрипта, а файл с персональными данными открывается, пользователю трудно распознать заражение.
Закодированные строки подставляются, декодируются и запускаются через PowerShell. Выполняемая команда довольно проста: она считывает строку в адресе textbin и декодирует ее в base64 для выполнения. В конечном итоге команда загружает и запускает файл base64.txt в списке, показанном на рисунке 1.
Выполненная вредоносная программа обладает теми же функциями, что и RAT, позволяющие осуществлять удаленное управление. Среди его возможностей - регистрация автозапуска, выполнение скриптов, загрузка дополнительных файлов, выполнение загруженных файлов через Regsvcs.exe (легитимный процесс) и выполнение обратного соединения.
Indicators of Compromise
MD5
- 27218824d5b1da553e3d65f2a4a0f974
- a377d92101121294088e02b01624f19c
- d3d5f947a872d50fd2addfecfa2b2276
- ebaa2ad4d3b7e88424e9db4c860d7558
- f963a7bf7b1377d78813c90dd649f512
