Бразильская группа киберпреступников, известная как Augmented Marauder и Water Saci, развивает многоуровневую фишинг-кампанию, направленную на испаноязычных пользователей в Латинской Америке и Европе. Основная цель — распространение банковских троянов, таких как Casbaneiro, посредством использования динамических PDF-документов и других методов социальной инженерии.
Как функционирует атака
Атака начинается с фишинг-имейла, который содержит сообщения с уведомлениями о судебных вызовах. Получатели, открывая такие письма, получают доступ к защищенному паролем PDF-документу. Как только они нажимают на встроенную ссылку, происходит автоматическая загрузка ZIP-архива, содержащего вредоносные скрипты, такие как HTML Application (HTA) и VBS.
Скрипт VBS выполняет проверку окружения, чтобы избежать обнаружения антивирусным ПО и продолжает загрузку последующих вредоносных компонентов с удаленного сервера. Загруженные файлы являются загрузчиками, которые запускают зашифрованные вредоносные файлы с расширениями '.ia' или '.at', в итоге активируя Casbaneiro и Horabot.
Особенности киберкампании
Casbaneiro использует дополнительно загружаемые модули для отправки фишинговых писем через учетные записи Outlook с собранных контактных данных. За время своей деятельности группа экспериментировала с различными методами, включая автоматизацию WhatsApp, чтобы более эффективно находить новые жертвы и распространять свой вредоносный софт.
По этим BlueVoyant, этот подход демонстрирует, как киберпреступники адаптируются к новым методам защиты и утечек данных. Например, в ходе недавних атак они использовали ClickFix тактики социальной инженерии, чтобы пользователей обманом заставить запускать вредоносные файлы.
Важность для компаний
Российским компаниям стоит обратить внимание на такие атаки, так как их методы могут быть использованы и для фишинга в СНГ-регионе. Фишинг остается одной из самых распространенных угроз для безопасности предприятий, и бизнесам необходимо усилить свою защиту, особенно в области email-безопасности. Согласно исследованиям, 90% утечек этих происходят через фишинговые атаки.
В преддверии новых атак, компании должны активизировать обучение сотрудников методам распознавания фишинга и внедрить многоуровневые системы защиты для снижения рисков.