Эксперты установили, кто стоит за конструктором вредоносного ПО APOMacroSploit

[Artifact]

APOMacroSploit представляет собой генератор макро-эксплоитов для создавания документов Excel, способных обходить решения безопасности.

Исследователи компании Check Point рассказали о новом вредоносном ПО для Office, распространяющемся через фишинговые электронные письма. Операторы вредоноса атаковали более 80 клиентов Check Point по всему миру с целью захвата контроля над компьютерами и удаленного похищения информации.
Используемый злоумышленниками инструмент APOMacroSploit представляет собой генератор макро-эксплоитов, позволяющий создавать документы Excel, способные обходить решения безопасности, Windows Antimalware Scan Interface (AMSI), механизмы безопасности Gmail и другие средства для защиты от фишинга. Вредонос является делом рук французских киберпреступных группировок Apocaliptique и Nitrix. По подсчетам исследователей, на продажах APOMacroSploit на киберпреступном форуме HackForums.net за один месяц они заработали $5 тыс.
За вредоносной кампанией стоят сорок киберпреступников, которые используют сто разных отправителей электронных писем для атак на жертв в более тридцати странах мира. Впервые атаки были обнаружены в конце ноября 2020 года.
Заражение вредоносным ПО начинается, когда включается динамическое содержимое прикрепленного к фишинговом письму XLS-документа, и макрос XLM автоматически начинает загрузку командного скрипта для Windows. Скрипт извлекается из файла cutt.ly, направляющего на серверы, где размещено несколько BAT-скриптов, к именам файлов которых привязаны никнеймы пользователей. Скрипты также отвечают за выполнение вредоносного ПО («fola.exe») на системах под управлением Windows, но не раньше добавления местоположения вредоносного ПО в путь исключений Защитника Windows и отключения очистки Windows.