Банковского трояна IcedID перепрофилировали для доставки других зловредов

Банковского трояна IcedID перепрофилировали для доставки других зловредов

Специалисты Proofpoint фиксируют атаки IcedID с использованием новых вариантов загрузчика — Lite и Forked. Сам троян тоже претерпел изменения, потеряв функциональность, необходимую для банковского фрода.

По данным ИБ-компании, модифицированный IcedID распространяют три криминальные группы, не считая брокеров доступа к взломанным сетям. В Proofpoint полагают, что изменения вызваны сменой способа заработка: банковские мошенники решили заняться доставкой полезной нагрузки — к примеру, шифровальщиков.

Остальные поклонники банкера продолжают пользоваться стандартной версией, почти не изменившейся с 2017 года. В этом виде зловред, согласно описанию экспертов, прибывает на машину как начальный загрузчик, который запрашивает с сервера DLL-лоадер, и тот уже доставляет бот IcedID.

Вариант Lite впервые всплыл в ходе ноябрьских атак Emotet; он загружался в систему как пейлоад второй ступени. Загрузчик Forked появился позже, в феврале; по поведению он схож со стандартной версией, но использует другой тип файла (не DLL, а COM Server) и содержит дополнительный код для расшифровки строк и доменных имен, поэтому пейлоад увеличился на 12 Кбайт.

Загрузчик Lite по сравнению с ним легче, всего 20 Кбайт, так как он не выводит информацию о зараженном хосте на C2-сервер. Профилирование за него выполняет Emotet.

Оба варианта доставляют один и тот же IcedID-бот с сильно урезанной функциональностью — версию Forked без веб-инжектов, AiTM и возможности бэкконнекта. За счет этого размер файла сократился на 64 Кбайт.

 

В феврале злоумышленники распространяли Forked-вариант через персонализированные спам-письма с вложением OneNote, якобы содержащим инвойс. При открытии исполнялся файл HTA, запускающий PowerShell-команду на загрузку IcedID с удаленного сервера. Одновременно жертве отображался маскировочный документ PDF.

 

В конце февраля были зафиксированы спам-рассылки, использующие форму уведомления о нарушении американского закона о безопасности дорожного движения и автотранспорта, а также поддельные письма от имени Управления США по надзору за качеством продовольствия и медикаментов (FDA). В обоих случаях целью являлся засев Forked-версии IcedID.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Исходный код шпионского софта Pegasus обязали передать WhatsApp

Суд в США обязал израильскую компанию NSO Group выдать исходный код шпионского софта Pegasus разработчикам WhatsApp (принадлежит Meta, деятельность которой в России признана экстремистской и запрещена).

Meta (признана экстремистской и запрещена в России) подала в суд на NSO Group ещё в октябре 2019 года. Теперь решение американского суда ознаменовало победу интернет-гиганта.

Как утверждала корпорация Цукерберга, инфраструктура NSO Group использовалась для распространения шпиона, который в период с апреля по май проник на 1400 мобильных устройств.

В этих атаках фигурировала уязвимость под идентификатором CVE-2019-3568 (переполнение буфера в WhatsApp VoIP), получившая 9,8 балла по шкале CVSS.

В 2021 году США наложили санкции на NSO Group за разработку кибероружия и продажу его властям других стран, которые якобы использовали эти инструменты для слежки за журналистами, бизнесменами, активистами и т. п.

Согласно недавно опубликованным судебным документам, NSO Group предлагали предоставить исчерпывающую информацию о функциональности шпионского софта Pegasus.

Напомним, в январе специалисты «Лаборатории Касперского» создали утилиту для обнаружения шпиона Pegasus на iPhone. Инструмент ищет ранее неизвестные следы в Shutdown.log. Помимо Pegasus, она может найти шпионские программы Reign и Predator.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru