От электронного письма до потери средств – один троян.
Специалисты ИБ-компании Metabase Q сообщают , что операторы банковского трояна Mispadu проводят несколько спам-кампаний в Боливии, Чили, Мексике, Перу и Португалии и других странах, с целью кражи учетных данных и доставки другого вредоносного ПО.
https://www.securitylab.ru/upload/me...khzqpyvoyy.png
Количество заражений по странам
По словам экспертов, кампания началась в августе 2022 года. Троян Mispadu (URSA) был впервые задокументирован ESET в ноябре 2019 года. Тогда исследователи выделили его способность похищать средства и учетные данные, а также делать снимки экрана и перехватывать нажатия клавиш.
Одной из их основных стратегий заражения Mispadu:<ul><li>компрометация уязвимых сайтов WordPress;</li>
</ul><ul><li>превращение их в сервер управления и контроля (C2);</li>
</ul><ul><li>распространение вредоносных программ с C2-сервера,</li>
</ul><ul><li>фильтрация стран, которые нельзя заражать.</li>
</ul>Цепочка атак включает в себя электронные письма, призывающие получателя открыть поддельные просроченные счета. Когда жертва открывает HTML-вложение, Mispadu проверяет, что файл был открыт с настольного компьютера, а затем перенаправляет жертву на удаленный сервер для загрузки вредоносного архива.
Архив RAR или ZIP использует поддельные цифровые сертификаты, один из которых представляет собой вредоносное ПО Mispadu, а другой — установщик AutoIT для декодирования и запуска трояна с использованием легитимной утилиты командной строки certutil .
https://www.securitylab.ru/upload/me...wpchfu31vw.png
Цепочка заражений Mispadu
Mispadu позволяет собирать список установленных антивирусных решений, перехватывать учетные данные из Google Chrome и Microsoft Outlook и загружать дополнительные вредоносные программы, среди которых обфусцированный VBS-дроппер, предназначенный для доставки полезной нагрузки с жестко закодированного домена. Доставляемая полезная нагрузка представляет из себя:<ul><li>инструмент удаленного доступа на основе .NET, который может выполнять команды, получаемые с C2-сервера;</li>
</ul><ul><li>загрузчик, написанный на Rust, который запускает PowerShell-загрузчик для запуска файлов непосредственно из памяти.</li>
</ul>Более того, вредоносное ПО использует оверлей для получения учетных данных от онлайн-банка, и другой конфиденциальной информации.
Metabase Q отметила, что использование «certutil» позволил Mispadu обойти обнаружение широким спектром антивирусов и собрать более 90 000 учетных данных онлайн-банков с более 17 500 уникальных веб-сайтов.