Итальянский центр компетенции по кибербезопасности CERT-AGID предупредил о масштабной атаке спама, направленной на распространение вредоносной программы Quasar RAT. Атаки были обнаружены 16 августа и продолжаются до сих пор.
Злоумышленники используют логотипы Министерства внутренних дел, чтобы обмануть своих жертв. Вредоносные электронные письма содержат версию Quasar RAT '1.0.00.r6'. Хотя серверы C2 остались неизменными, URL-адреса репозиториев, из которых загружаются исполняемые файлы, были изменены. Зашифрованные строки в программе декодированы при помощи алгоритма XOR и ключа, который был найден в коде. Целью атаки являются пользователи конкретных итальянских банков. Аналитики определили программу как BlotchyQuasar, банковский троян, основанный на Quasar RAT.
Indicators of Compromise
IPv4
- 54.233.85.151
- 64.23.164.170
Domains
- agicltursement.ink
- casaforte.casacam.net
- cfestlolequiep.store
- drifmynaeas.camdvr.org
- gastronomleo.lat
- italy-845d4-default-rtdb.asia-southeast1.firebasedatabase.app
- mercantokiko.xyz
- notificacao.noticiasnovidads.xyz
- pagamehoje.theworkpc.com
- varjolatijolos.space
URLs
- http://15.228.186.93/33354365346/xxwewe33.rar
- http://64.23.164.170/
- http://64.23.164.170/95947859385/Rar.exe
- http://64.23.164.170/95947859385/shollrussia.rar
- http://64.23.164.170/shollrussia.png
- http://liga-730ce-default-rtdb.europe-west1.firebasedatabase.app
- https://attendereunistante.kozow.com/
- https://notificacao.noticiasnovidads.xyz/clientes/
MD5
- 0a57d370bb7a6bb0947789eaa997c9fb
- 16659ae52ce03889ad19db1f5710c6aa
- 3626685b46e8dac2ebb1c458f6f92728
- 37cbc8e2984692b482baf3c7a63caf0e
- 767f07f21c427466321971cdb6f3dc87
- 8bc7c91b4b84a5672cc0b5303ac55f86
- a74c0c1155a4173cfdeee1358c2d1077
- d5cfd09fd7161493290e9e15a2bdbe15
SHA1
- 0b0d89a4dde2a60a8e56353e7b07601e2aa62686
- 29e4552e7764f1021fc4ad0a0574356ef2d1fe24
- 4f6b410e8236bde9680bf0d763de7da70582f2cd
- 66b814fe3be64229e2cc19f0a4460e123ba74971
- 72dd0007b0767edb0f3043b0111676392ca853b1
- 7c3caa9fb80c71e76c7a18f21b0f1409aac7cd6e
- d5daee9a52a5eee6a65f18d2c7a859e680c4071c
- d9494f1c796f4b301692f0d16b54248514258fd4
SHA256
- 06b820e333d4893dee60b61c149d7a3a2e22134e3c42317e189a446e551f14ac
- 0b1866b627d8078d296e7d39583c9f856117be79c1d226b8c9378fe075369118
- 91a94ca01e17f6fcf6348047dddf5fdd263392d958768ff2f4b1231f3d60b7cf
- 998e3fbc3d984eca67c8c8e237476cbebd128bb0b438a32412bcee37da73b969
- c087eeefacdfcce51e9d4218832a522eef4bf7058ebc3390e98298b04859412e
- dc6e3bf0b7de1ae09b234e15c2e950c0cce3ca2baa12e8bd93d823b78540ce78
- e8a5b808ec57fa33d43f8ca7cc74a7c7e00166dc9307fe1e82fc1e099f0cf5e6
- ef3673c6ad613b1b14d2f7e72c43977008534d8e085aafe22a7c8cfcb3b83b6c
