Нова фішингова кампанія маскується під повідомлення від банку

Дослідники безпеки викрили нову фішингову схему, призначену для доставлення кейлогера Agent Tesla під виглядом повідомлень про банківські платежі. Жертв обманом змушують відкрити шкідливі вкладення електронної пошти, які запускають встановлення шкідливого програмного забезпечення для клавіатурного шпигунства, що непомітно збирає конфіденційну інформацію зі скомпрометованих систем.

Діє нова фішингова кампанія, яка застосовує складний зловмисний завантажувач для розповсюдження сумнозвісного кейлогера Agent Tesla, про що повідомляє, thehackernews.com. Спеціалісти Trustwave SpiderLabs викрили цю схему 8 березня 2024 року, виявивши складний ланцюжок атак, замаскований під повідомлення про банківські платежі.

Фішинговий лист майстерно маскується під справжнє повідомлення про банківський платіж, закликаючи одержувача відкрити вкладений архівний файл. За цим нешкідливим на вигляд вкладенням під назвою «Bank Handlowy w Warszawie – dowód wpłaty_pdf.tar.gz» ховається зловмисний завантажувач, який ініціює процес розгортання Agent Tesla на скомпрометованій системі.

Аналіз, проведений дослідником безпеки Бернардом Батістою, показав, що завантажувач використовує складні методи маскування та поліморфну поведінку, щоб запобігти виявленню антивірусними засобами захисту. Завантажувач, написаний на мові .NET, застосовує два різних варіанти, кожен із яких передбачає різні процедури дешифрування для доступу до його конфігурації й отримання XOR-закодованого корисного навантаження Agent Tesla з віддаленого сервера. Крім того, завантажувач обходить інтерфейс перевірки Windows на наявність шкідливого програмного забезпечення (AMSI), щоб забезпечити непомітне виконання.

Непомітне виконання та викрадення даних

Щоб запобігти виявленню, завантажувач використовує методи виправлення, які дають змогу обійти виявлення засобами AMSI, гарантуючи, що виконання залишиться прихованим. Після запуску Agent Tesla непомітно пересилає конфіденційні дані через SMTP, користуючись скомпрометованими обліковими записами електронної пошти, пов’язаними з легітимними суб’єктами, що забезпечує зловмисникам додатковий рівень анонімності.

Відкриття Trustwave підкреслює складність сучасних кіберзагроз, під час яких зловмисники застосовують передові технології, щоб запобігти виявленню та зберегти анонімність. Використовуючи вразливості й динамічне завантаження корисного навантаження, вони мінімізують сліди на диску й ускладнюють процес встановлення авторства.

Підвищення кількості фішингових атак: висновки й тенденції

Викриття цієї фішингової кампанії відбувається на тлі ширшого спектра кіберзагроз, коли такі групи, як TA544, використовують замасковані під справжні рахунки-фактури файли PDF для розповсюдження шкідливого програмного забезпечення. Поширення фішингових наборів, подібних до Tycoon, також свідчить про зростання складності й поширеності фішингових атак, націлених на користувачів Microsoft 365.

Оскільки ці складні фішингові тактики продовжують розвиватися, організаціям і приватним особам необхідно вживати проактивних заходів для захисту від таких загроз. Підвищена обізнаність, надійні протоколи захисту електронної пошти й постійний моніторинг підозрілої активності є важливими кроками для зміцнення захисту від фішингових атак. Крім того, співпраця між фахівцями з кібербезпеки й обмін інформацією про загрози відіграють ключову роль у випередженні кіберзловмисників.

Фішинг — серйозна загроза, але це не означає, що від неї не можна захиститися. Зв’яжіться з DigVel, і ми залюбки вам допоможемо!