Найдя жертву в чате, киберпреступники втираются к ней в доверие, после чего заражают ее систему вредоносным ПО.
https://www.securitylab.ru/upload/ib...3cv7o18vyg.jpg
Как сообщают исследователи Microsoft, им удалось раскрыть серию кибератак, в ходе которых кластер под идентификатором DEV-0139 использовал Telegram-чаты для проведения кибератак на криптоинвесторов. Атака проходила по следующему сценарию:<ul><li>Злоумышленни� �и присоединяются к чату, который используется для связи между криптобиржами и их VIP-клиентами;</li>
</ul><ul><li>Выбрав жертву, хакеры выдают себя за представителей другой криптобиржи и приглашают ее в другой чат;</li>
</ul><ul><li>Завоевав доверие цели, киберпреступники отправляют ей вредоносную Excel-таблицу под названием "OKX Binance &amp; Huobi VIP fee comparision.xls" с комиссиями для VIP-клиентов у разных криптовалютных бирж;</li>
</ul><ul><li>Как только жертва открывает таблицу и включает макросы, второй лист таблицы загружает и парсит PNG-образ для извлечения вредоносной DLL, бэкдора в шифровке XOR и exe-файла, который потом используется для боковой загрузки DLL;</li>
</ul><ul><li>DLL расшифровывается и устанавливает бэкдор, предоставляющий хакерам удаленный доступ к системе жертвы.</li>
</ul>Чтобы побудить жертву отключить макросы, злоумышленники защитили основной лист таблицы паролем, который снимается после установки и запуска другого файла, сохраненного в формате base64.
Дальнейшее расследование позволило специалистам обнаружить другой файл – MSI-пакет для фейкового приложения CryptoDashboardV2, с помощью которого злоумышленники тоже могли установить бэкдор в системе жертвы.