Вчера в 23:06

Фишинговая кампания под видом QuickBooks задействовала свыше 350 доменов-двойников

Фишинговая кампания с использованием QuickBooks задействовала более 350 доменов-двойников. Письма побуждали получателей звонить мошенникам, которые выдавали себя за службу поддержки QuickBooks.

В письмах размещали пиксель отслеживания размером 1×1. При открытии письма он отправлял GET-запрос на track.chanret.com. URL содержал в кодировке base64 идентификатор кампании и адрес электронной почты получателя, раскрывая оба параметра сервису отслеживания. Наблюдаемые номера для обратных звонков использовали код региона 805: +1 (805) 835-8090 и +1 (805) 699-1139. Большинство доменов-двойников зарегистрировали через Dynadot с 29 июня по 5 июля 2026 года.

Домен отслеживания chanret.com связан со службой отслеживания электронной почты, используемой по умолчанию в UltraMailer. В августе 2026 года кампания ненадолго перешла на smtracking.qbcares.com, который через запись CNAME указывал на инфраструктуру, связанную с провайдером массовой рассылки Mail250. После сообщения об активности Mail250 приостановил учётную запись, а кампания прекратилась. 8 сентября актор вернулся к использованию chanret.com. Документация UltraMailer описывает смену доменов отслеживания, если они попадают в списки блокировки. Само программное обеспечение продвигают на криминальных форумах для спам-рассылок. Исследователи не обнаружили доказательств участия разработчиков UltraMailer или UltraViewer в кампании.

Исследователи также выявили троянизированные установщики. Файл UltraMailer_setup_v3.6_en.exe с хешем SHA-256 9e1a679ca45a149d2bd681cbb8ec3b1cc3d271fad51b092a3db5e5642eb6676b содержал полезную нагрузку njRAT. Отдельный установщик, UltraViewer_setup_6.6.133_vi.exe с хешем SHA-256 28f046d9f985e58cbc8b245b54d4179feacecc12f41e2f6594306867ce3e8727, был связан с Win32.Comet.A, также известным как DarkKometa. Вредоносный файл устанавливался по пути C:\ProgramData\Synaptics\Synaptics.exe и имитировал драйвер тачпада Synaptics. Оба вредоносных установщика не имели цифровой подписи, но содержали легитимные приложения, подписанные сертификатом DUC FABULOUS CO., LTD.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: