Эксперты установили, кто стоит за конструктором вредоносного ПО APOMacroSploit

Исследователи компании Check Point рассказали о новом вредоносном ПО для Office, распространяющемся через фишинговые электронные письма. Операторы вредоноса атаковали более 80 клиентов Check Point по всему миру с целью захвата контроля над компьютерами и удаленного похищения информации.

Используемый злоумышленниками инструмент APOMacroSploit представляет собой генератор макро-эксплоитов, позволяющий создавать документы Excel, способные обходить решения безопасности, Windows Antimalware Scan Interface (AMSI), механизмы безопасности Gmail и другие средства для защиты от фишинга. Вредонос является делом рук французских киберпреступных группировок Apocaliptique и Nitrix. По подсчетам исследователей, на продажах APOMacroSploit на киберпреступном форуме HackForums.net за один месяц они заработали $5 тыс.

За вредоносной кампанией стоят сорок киберпреступников, которые используют сто разных отправителей электронных писем для атак на жертв в более тридцати странах мира. Впервые атаки были обнаружены в конце ноября 2020 года.

Заражение вредоносным ПО начинается, когда включается динамическое содержимое прикрепленного к фишинговом письму XLS-документа, и макрос XLM автоматически начинает загрузку командного скрипта для Windows. Скрипт извлекается из файла cutt.ly, направляющего на серверы, где размещено несколько BAT-скриптов, к именам файлов которых привязаны никнеймы пользователей. Скрипты также отвечают за выполнение вредоносного ПО («fola.exe») на системах под управлением Windows, но не раньше добавления местоположения вредоносного ПО в путь исключений Защитника Windows и отключения очистки Windows.

Источник: https://www.securitylab.ru/news/516740.php

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *