✔Банкер IcedID распространяется с помощью «Яндекс.Форм» - «Новости»

11 июля 2022 661 Новости / Преимущества стилей / Ссылки / Изображения / Самоучитель CSS / Заработок / Текст / Сайтостроение / Формы 0

Издание Bleeping Computer сообщает, что хак-группа TA578 проводит такие атаки более года. Хакеры находят на сайтах контакты владельцев, а затем используют их для отправки юридических угроз в адрес ресурса. Хакеры убеждают получателей, что те должны срочно загрузить отчеты, содержащие доказательства нарушения авторских прав или проведения DDoS-атак. На самом же деле злоумышленники заражают цели различными вредоносными программами, включая BazarLoader, BumbleBee и IcedID.

Подобная «жалоба» на нарушение авторских прав пришла и в адрес самого издания: злоумышленники пытались выдать себя за Zoho и настраивали, что сайт использует защищенные авторским правом изображения. Атаку отличало то, что на этот раз для размещения своих вредоносных «отчетов» хакеры использовали «Яндекс.Формы», а не Google Drive или Google Sites как это бывает обычно.

После перехода по такой ссылке пользователь увидит сообщение, что отчет с уликами готов к загрузке. Вскоре после этого «Яндекс.Формы» загружают файл ISO с именем Stolen_ImagesEvidence.iso: по встроенной в форму ссылке на firebasestorage.googleapis.com.

Как не трудно догадаться, в этом ISO-файле нет никаких «улик», зато там присутствует загрузчик модульного банковского трояна IcedID, который способен воровать учетные данные Windows и развертывать дополнительные полезные нагрузки, например, маяки Cobalt Strike.

Журналисты напоминают, что полученные из недоверенных источников подозрительные файлы лучше сначала загружать на VirusTotal, а не открывать их сразу же после получения.

Обнаружена кампания, в рамках которой владельцы сайтов получают фейковые жалобы на нарушение авторских прав, а «улики» им предлагают скачать из «Яндекс.Форм». Таким образом злоумышленники распространяют банковский троян IcedID. Издание Bleeping Computer сообщает, что хак-группа TA578 проводит такие атаки более года. Хакеры находят на сайтах контакты владельцев, а затем используют их для отправки юридических угроз в адрес ресурса. Хакеры убеждают получателей, что те должны срочно загрузить отчеты, содержащие доказательства нарушения авторских прав или проведения DDoS-атак. На самом же деле злоумышленники заражают цели различными вредоносными программами, включая BazarLoader, BumbleBee и IcedID. Подобная «жалоба» на нарушение авторских прав пришла и в адрес самого издания: злоумышленники пытались выдать себя за Zoho и настраивали, что сайт использует защищенные авторским правом изображения. Атаку отличало то, что на этот раз для размещения своих вредоносных «отчетов» хакеры использовали «Яндекс.Формы», а не Google Drive или Google Sites как это бывает обычно. После перехода по такой ссылке пользователь увидит сообщение, что отчет с уликами готов к загрузке. Вскоре после этого «Яндекс.Формы» загружают файл ISO с именем Stolen_ImagesEvidence.iso: по встроенной в форму ссылке на firebasestorage.googleapis.com. Как не трудно догадаться, в этом ISO-файле нет никаких «улик», зато там присутствует загрузчик модульного банковского трояна IcedID, который способен воровать учетные данные Windows и развертывать дополнительные полезные нагрузки, например, маяки Cobalt Strike. Журналисты напоминают, что полученные из недоверенных источников подозрительные файлы лучше сначала загружать на VirusTotal, а не открывать их сразу же после получения.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.

Иллюстрация к статье - Яндекс. Картинки.

Есть вопросы. Напишите нам.

Общие правила поведения на сайте.