Шпионская кампания Bandidos атакует корпоративные сети посредством PDF-файлов
Компания Eset выявила новую и все еще активную вредоносную кампании Bandidos с использованием усовершенствованных версий известной угрозы Bandook. Возможности вредоноса и тип перехватываемой информации свидетельствуют о шпионаже как основной цели киберпреступников.
Согласно данным телеметрии Eset, основными целями злоумышленников являются корпоративные сети компаний в области производства, строительства, здравоохранения, программных услуг и розничной торговли.
Потенциальные жертвы получают вредоносные электронные письма с PDF-файлом, который содержит ссылки для загрузки сжатого архива и пароль для его распаковки. Внутри архива находится исполняемый файл - загрузчик, который запускает Bandook в процесс Internet Explorer. Во вложенных PDF-документах злоумышленники сокращают URL-адреса с помощью сервисов Rebrandly или Bitly.
В свою очередь, сокращенные URL-адреса перенаправляют жертв на облачные сервисы для хранения файлов, такие как Google Cloud Storage, SpiderOak или pCloud, из которых загружается вредоносное ПО. Основная цель угрозы - декодировать, расшифровывать и запускать вредоносный компонент, а также обеспечить его сохранение в скомпрометированной системе.
"Особенно интересен функционал ChromeInject. В частности, когда устанавливается связь с командным сервером злоумышленника, компонент загружает файл DLL для создания вредоносного расширения Chrome. В свою очередь, вредоносное расширение пытается получить любые учетные данные жертвы, которые затем сохраняются в локальном хранилище Chrome", - комментирует исследователь компании Eset.
Последовательность атаки Bandidos с помощью функционала угрозы Bandook
Стоит отметить, что Bandook - известный троян удаленного доступа, который был доступен в Интернете еще в 2005 г., хотя его использование злоумышленниками не было зафиксировано вплоть до 2016 г. После этого, в 2018 г. угрозу использовали для атак на учебные заведения, а также работников юридических и медицинских учреждений. А в 2020 г. троян применялся в атаках на несколько секторов, в частности, государственный, финансовый, ИТ и энергетический.
