Киберпреступники распространяют вредоносы через контактные формы на web-сайтах

Пн 12 Апрель 2021 07:16

Специалисты компании Microsoft выявили вредоносную кампанию, в рамках которой злоумышленники используют контактные формы на легитимных web-сайтах с целью распространения вредоносного ПО IcedID среди различных компаний и предприятий.

Метод атак является простым и основан на использовании автоматических скриптов для посещения web-сайтов легитимных предприятий и заполнения контактных форм с фиктивными юридическими угрозами. В электронных письмах получателям предлагается щелкнуть ссылку для просмотра предполагаемых свидетельств, лежащих в основе их обвинений. При нажатии на ссылку получатель попадает на страницу Google, где от него требуется войти в систему со своими учетными данными. Из-за добавленного уровня аутентификации системы защиты могут вообще не идентифицировать электронную почту как вредоносную.

После того, как получатель электронной почты входит в систему, страница sites.google.com автоматически загружает вредоносный ZIP-архив с файлом .js. Вредоносный файл выполняется через WScript для создания объекта оболочки, запуска PowerShell-скрипта и загрузки вредоноса IcedID (файл .dat), который расшифровывается DLL-загрузчиком или маяком Cobalt Strike и позволяет злоумышленникам удаленно управлять компьютером.

Поскольку электронные письма приходят с сайтов компаний, в которых работают сотрудники, они не подозревают о возможной кибератаке.

Вредоносное ПО IcedID было обнаружено в 2017 году и в настоящее время используется для предоставления доступа к зараженным сетям другим группировкам киберпреступников. Системы, зараженные IcedID, использовались для установки программ-вымогателей в корпоративных сетях, таких как Maze и Egregor.

Хотя в рамках данной кампании распространяется вредоносное ПО IcedID, метод может использоваться для распространения широкого спектра других вредоносных программ. IcedID представляет собой банковский троян, который превратился в точку входа для более опасных киберугроз. Он подключается к C&C-серверу и загружает дополнительные имплантаты и инструменты, позволяющие злоумышленникам выполнять атаки, красть учетные данные и перемещаться по пораженным сетям.

Статья уведена с www.securitylab.ru.

NetLan.ru жив уже 15 лет 135 дней 17 часов 16 минут 27 секунд
СМК NetLan (Nettlesome Landloper) — некоммерческий интернет-ресурс.
Весь данный интернет-ресурс и всё созданное или размещённое на нём используется в личных целях.