Новая фишинговая кампания: угроза Formbook усугубляется
Изображение: www.seqrite.com
Лаборатория Seqrite недавно выявила серьезную фишинговую кампанию, цель которой — похищение Formbook с помощью вредоносных вложений в электронной почте. Это программное обеспечение, предлагающее вредоносное ПО как услугу, активно развивается с 2016 года, предоставляя злоумышленникам разнообразные инструменты для обхода защитных механизмов.
Методы распространения Formbook
В ходе кампании было зафиксировано множество вариантов распространения фишинговых материалов. Все они использовали схожую тактику уклонения от обнаружения. Фишинговые электронные письма обычно содержат вложение, представляющее собой заказ на покупку, зачастую в формате zip-файла.
- Вложение содержит PE-файл с именем PurchaseOrder.exe.
- Файл скомпилирован с использованием dotnet.
- Вредоносное ПО скрывает дальнейшие угрозы в ресурсах PurchaseOrder.exe.
Механизм работы вредоносного ПО
Основной механизм работы Formbook заключается в следующем:
- После извлечения PurchaseOrder.exe, он находится в спящем режиме в течение девяти секунд.
- Затем приложение расшифровывает полезную нагрузку второго этапа.
- Вредоносное ПО проверяет наличие флага мьютекса и создает новый мьютекс, чтобы избежать параллельного запуска.
- При наличии флага «Спящий режим» программа приостанавливает выполнение, уменьшая вероятность обнаружения.
Скрытность и устойчивость
Formbook использует различные методы для сохранения своей скрытности, включая:
- Добавление путей исключения.
- Скрытие поведения с помощью PowerShell в скрытом окне.
- Копирование родительского файла с скрытыми атрибутами.
Защита от фишинговых атак
Вредоносное ПО формирует XML-файл в папке %temp% с данными, связанными с задачей, и создает запланированные задачи с скрытыми атрибутами. Это делает его поведение менее предсказуемым. Как только конечная полезная нагрузка расшифрована, произойдет установка целевого процесса для удаления данных на основе указаний хакера.
Эксперты настоятельно рекомендуют пользователям проявлять бдительность в отношении подозрительных электронных писем, особенно тех, которые содержат вложения, чтобы избежать стать жертвами подобных фишинговых кампаний.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу. Ознакомиться подробнее с отчетом можно по ссылке.
