Банковский троян TrickBot распространяют с помощью Google Docs

Банковский троян TrickBot распространяют с помощью Google Docs

Банковский троян TrickBot распространяют с помощью Google Docs

Киберпреступники используют Google Документы для распространения знаменитого банковского трояна TrickBot. В этих кампаниях вредоносную программу маскируют под PDF-документы.

О новом способе доставки этого трояна сообщили эксперты компании Cofense. Напомним, что сам TrickBot известен сообществу кибербезопасников с октября 2016 года. Авторы вредоноса постоянно обновляют и совершенствуют его.

Изначально TrickBot располагал исключительно функциями банковского трояна, но со временем злоумышленники оснастили его возможностью похищать данные и устанавливать в систему другие вредоносные нагрузки.

Буквально на днях специалисты компании Cofense зафиксировали фишинговую кампанию, в ходе которой атакующие распространяли TrickBot посредством ссылок сервиса Google Документы.

«Злоумышленники играли на любопытстве людей — пытались заставить их перейти по ссылке фразой "Вы уже получили документы, которые я оправлял вам ранее?". Такое письмо было вполне легитимно сгенерировано сервисом Google Документы, однако в результате пользователя направляли на документ, содержащий вредоносную ссылку», — гласит отчёт  исследователей.

Далее по ссылке находилась фейковая страница с ошибкой 404, которая рекомендовала скачать документ локально. Именно так жертва загружала себе на компьютер якобы документ в формате PDF.

На деле расширение было замаскировано (уловка двойного расширения — .pdf.exe). Если система Windows у пользователя настроена на скрытие известных типов файлов, ему будет трудно распознать подвох.

После запуска вредоносной составляющей она копировала себя в разные директории и создавала задание. Планировщик запускал это задание каждые 11 минут в течение последующих 414 дней. Троян также внедрял свой код в процессы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники выдают себя за фонд «Защитники Отечества» перед 9 Мая

Накануне 9 Мая эксперты по кибербезопасности обнаружили новую мошенническую схему, в которой злоумышленники прикрываются именем государственного фонда «Защитники Отечества».

На специально созданных сайтах людям обещают до 30 миллионов рублей в рамках якобы «социального проекта», но на деле это классическая схема инвестиционного обмана.

На таких сайтах предлагается вложиться в акции российских компаний и «заработать вместе со страной». Чтобы создать иллюзию правдоподобия, на страницах размещены поддельные отзывы от «граждан», которые якобы уже получили выплаты.

Сценарий стандартный: жертву просят оставить имя и телефон, а затем с ней связывается «менеджер», который убеждает внести деньги на некий депозит.

Иногда для «открытия счёта» предлагают установить приложение — на деле это может быть вредоносная программа, способная получить полный доступ к устройству и финансам. Также могут запросить паспорт под предлогом верификации, после чего личные данные могут быть использованы в других атаках.

Известные сайты уже заблокированы в России, но мошенники могут запускать новые домены.

 

Ранее, осенью прошлого года, похожую схему пытались провернуть с использованием вымышленного «Спецфонда ВПК» — тогда речь тоже шла об инвестициях в оборонную промышленность.

Такие схемы — не редкость: обещание лёгких денег, использование патриотической тематики, подделка отзывов, иногда даже дипфейки с известными людьми. Трафик гонят через соцсети, мессенджеры, фейковые вакансии и даже телефонные звонки.

Главное правило — не верить в лёгкий и быстрый заработок. Особенно если просят установить сомнительный софт или выслать документы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru