Рождественские шутки Dridex: вы уволены, решение обжалованию не подлежит

Рождественские шутки Dridex: вы уволены, решение обжалованию не подлежит

Рождественские шутки Dridex: вы уволены, решение обжалованию не подлежит

Новая спам-кампания, нацеленная на засев трояна Dridex, использует форму уведомления о расторжении трудового договора. Злоумышленники, по всей видимости, надеются, что шок заставит получателя открыть приаттаченный вредоносный документ Excel.

Банковский троян Dridex давно уже не используется по прямому назначению, а сдается в аренду для загрузки других вредоносных программ. Распространяется он, как правило, через вложения в спам — обычно это документы Microsoft Office со специальным макросом.

Новые зловредные письма, обнаруженные экспертами, сообщают получателю о скоропалительном увольнении. Автор поддельного уведомления подчеркивает, что принятое решение — окончательное, и отмены приказа не будет.

 

При открытии вложенного файла пользователю выводится размытая, нечитаемая форма с подсказкой включить активный контент — якобы для получения четкого изображения. Клик по вставленной кнопке выбрасывает издевательское поздравление с Рождеством.

 

Пока жертва переваривает это неуместное приветствие, активированный макрос создает в C:\ProgramData вредоносный HTA-файл с произвольным именем и запускает его на исполнение. Зловред замаскирован под RTF, но содержит VBScript, который загружает с Discord файл с шутливым именем jesusismyfriend.bin — трояна Dridex.

На этой неделе также стало известно о попытках распространения Dridex через эксплойт CVE-2021-44228 (Log4Shell), злоумышленники при этом используют отличный от PoC инструмент атаки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

База знаний MITRE ATT&CK пополнилась матрицей ESXi

НКО MITRE выпустила очередную версию фреймворка ATT&CK — 17.0. Из изменений наиболее примечательно появление новой матрицы с информацией о техниках и тактиках, применяемых в атаках на гипервизоры VMware ESXi.

По замыслу, дополнительный раздел в корпоративном MITRE ATT&CK должен был охватить сведения обо всех атаках на гипервизоры первого типа (bare-metal). Однако в подавляющем большинстве отчетов фигурировал ESXi, и в итоге было решено вывести это имя в заголовок.

В новую матрицу включены 34 известные техники, которые оказались пригодными и для этой системной среды, а также четыре новые, замеченные только в атаках на ESXi.

«Охват сконцентрирован на ключевой операционной системе ESXi, — уточняет автор блог-записи MITRE. — Основное внимание уделено самому гипервизору, а не vCenter Server, под управлением которого работают хосты ESXi. Техники с участием vCenter включаются в подборку лишь в тех случаях, когда они оказывают прямое воздействие на ESXi — например, использование vCenter для компрометации гипервизора».

База знаний о техниках, используемых злоумышленниками, пополнилась и другими новинками, такими как вредоносный копипаст (атаки ClickFix), упреждающая вишинг бомбардировка спам-письмами (Email Bombing), использование интеграции приложений в веб-сервисы (OAuth-атаки).

Матрица Mobile заметно расширилась: в техники вернули сим-свопинг (из-за роста числа атак), добавили использование виртуализации для обхода песочниц Android (за счет имитации вредоносом функций легитимных приложений, к примеру, банковских). В списке инструментов появился троян LightSpy, в кейсах — Operation Triangulation.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru