Кому нужна такая исключительность в происхождении жертв?
https://www.securitylab.ru/upload/ib...ofiuo2hb31.jpg
Cisco Talos сообщает, что с начала ноября 2023 года мексиканские пользователи стали целью фишинговой кампании, в ходе которой распространяется новое вредоносное ПО для Windows под названием TimbreStealer.
Фишинговая кампания использует документы-приманки на тему налогов. В операции наблюдаются сложные методы обфускации для обхода систем обнаружения и обеспечения устойчивости вредоносного ПО. Кроме того, в ходе кампании применяется геофильтрация, позволяющая нацеливаться исключительно на пользователей из Мексики. При попытке доступа к вредоносным сайтам из других регионов вместо вредоносного файла пользователи получают безобидный пустой PDF-документ.
Среди заметных уловок – использование настраиваемых загрузчиков и прямых системных вызовов для обхода мониторинга API, а также Heaven's Gate — инструмент, который позволяет вредоносному ПО обходить средства безопасности конечных точек, вызывая 64-битный код в 32-битных процессах Windows, эффективно обходя пользовательские хуки. Последний метод недавно применялся и другим вредоносным ПО, HijackLoader.
TimbreStealer включает в себя несколько встроенных модулей для оркестрации, дешифрования и защиты основного двоичного кода. Вредоносное ПО проводит ряд проверок, чтобы убедиться, что оно не запущено в среде виртуализации, а часовой пояс соответствует региону Латинской Америки.
Основная цель вредоносного ПО – сбор широкого спектра данных, включая информацию об учетных записях из различных папок, метаданные системы, посещенные URL-адреса, поиск файлов с определенными расширениями и проверка наличия программ для удаленного доступа. Особое внимание уделяется тому, что TimbreStealer нацелен на разнообразные отрасли, в том числе на производственный и транспортный секторы.
Недавно специалисты Palo Alto Networks Unit 42 выявили атаки на пользователей Мексики, осуществляемые с использованием трояна Mispadu, нацеленного на кражу банковских данных. Вирус, впервые обнаруженный в 2019 году, распространяется через фишинговые сообщения и использует уязвимость в Windows SmartScreen, которая была устранена в ноябре 2023 года.
Code:
<pre class="alt2" dir="ltr" style="
margin: 0px;
padding: 6px;
border: 1px solid rgb(0, 0, 0);
width: 640px;
height: 34px;
text-align: left;
overflow: auto;
background: rgb(37, 37, 37) none repeat scroll 0% 0%;
border-radius: 5px;
font-size: 11px;
text-shadow: none;">https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/</pre>