Хакеры атакуют авиакомпании с помощью нового загрузчика RAT

Пт 14 Май 2021 06:31

Специалисты компании Microsoft предупредили о текущей вредоносной кампании целенаправленного фишинга, нацеленной на аэрокосмические и туристические организации. Преступники используют ряд троянов для удаленного доступа, установленных с помощью нового скрытного загрузчика вредоносных программ.

Фишинговые электронные письма злоумышленников отправляются якобы от имени легитимных организаций и замаскированы под документы в формате PDF, содержащие тематическую информацию. Встроенные в фишинговые сообщения ссылки загружают файлы VB Script, выполняющие PowerShell-скрипт. Последний, в свою очередь, выполняет окончательные полезные данные RAT с использованием Process Hollowing.

После установки вредоносное ПО способно красть учетные данные, делать снимки экрана, похищать данные web-камеры, браузера и буфера обмена, информацию о системе и сети, а также передавать данные через порт 587 SMTP.

Загрузчик, получивший названный Snip3, используется для установки полезных нагрузок Revenge RAT, AsyncRAT, Agent Tesla и NetWire RAT на скомпрометированных системах.

Snip3 также имеет возможность идентифицировать песочницу и виртуальные среды и таким образом избегать обнаружения со стороны антивирусных решений. Загрузчик вредоносных программ также использует дополнительные методы для избегания обнаружения, включая:

выполнение PowerShell-кода с параметром remotesigned;

использование Pastebin и top4top;

компиляция загрузчиков RunPE на оконечной точке во время выполнения.

Индикаторы компрометации, связанные с текущей кампанией, включая хэши образцов вредоносных программ и домены C&C-серверов RAT, можно найти в здесь .

Статья уведена с www.securitylab.ru.

NetLan.ru жив уже 15 лет 132 дня 11 часов 52 минуты 9 секунд
СМК NetLan (Nettlesome Landloper) — некоммерческий интернет-ресурс.
Весь данный интернет-ресурс и всё созданное или размещённое на нём используется в личных целях.