Hakerzy ukrywają złośliwe oprogramowanie w plikach wygaszacza ekranu w fałszywym ataku mailowym dotyczącym wysyłki

Firma zajmująca się cyberbezpieczeństwem Symantec odkryła kampanię phishingową skierowaną przeciwko różnym branżom w Azji, Europie i Stanach Zjednoczonych. Wykorzystuje ona fałszywe e-maile dotyczące wysyłki oraz zamaskowane pliki wygaszacza ekranu do zainfekowania ofiar malware.

Napastnicy podają się za dużą tajwańską firmę spedycyjną i logistyczną i wysyłają phishingowe e-maile w języku chińskim, które wyglądają jak prawdziwe aktualizacje przesyłek. W temacie wiadomości zawarte są szczegółowe informacje o wysyłce, odnoszące się do odprawy celnej z Kaohsiung do Atlanty 7 kwietnia.

Odbiorcy są następnie proszeni o zweryfikowanie dokumentów przewozowych, takich jak ISF, lista pakowania i faktura. Wewnątrz znajduje się złośliwy plik przebrany za wygaszacz ekranu Windows (.SCR). Po kliknięciu, cicho instaluje loader malware o nazwie ModiLoader.

GBHackers zauważa, że ModiLoader to znane zagrożenie, które pobiera i instaluje narzędzia do zdalnego dostępu oraz malware kradnące informacje. Symantec zgłosił, że było używane do instalowania malware, takiego jak Remcos, Agent Tesla, MassLogger, AsyncRAT i Formbook.

„Chociaż mogą wydawać się nieszkodliwe, są to w gruncie rzeczy programy wykonywalne z innym rozszerzeniem pliku. Po uruchomieniu, te pliki mogą wykonać dowolną akcję, jaką regularny plik wykonywalny może – na przykład instalowanie loaderów, backdoorów, keyloggerów lub ransomware. Na dzień dzisiejszy nadal są intensywnie wykorzystywane w łańcuchach ataków” – ostrzegała firma Symantec.

Kampania dotknęła wiele sektorów, w tym motoryzacyjny, elektroniczny, wydawniczy, radiowo-telewizyjny i produkcyjny, a ofiary znajdują się w takich krajach jak Japonia, Wielka Brytania, Szwecja, Stany Zjednoczone, Hongkong, Tajwan, Tajlandia i Malezja.

Symantec zwalcza zagrożenie, korzystając z różnorodnych środków ochrony, takich jak uczenie maszynowe, skanowanie plików, filtrowanie e-maili i zabezpieczenia końcowych punktów Carbon Black. Malware został oznaczony pod wieloma nazwami, w tym Trojan.Gen.MBT i Scr.Malcode!gen19.

Eksperci zalecają firmom edukację pracowników na temat podejrzanych e-maili.