Uwaga na fałszywe maile! Tego trojana ma już 100 tys. ofiar
Nowa, jeszcze bardziej destrukcyjna forma malware’u Qbot, przejmującego dane przeglądarki, numery kart kredytowych i inne dane bankowości elektronicznej zagraża firmom i osobom fizycznym – ostrzegają eksperci z firmy Check Point. Do tej pory ofiarą trojana padło 100 tys. użytkowników na całym świecie, co czyni go obecnie prawdopodobnie najbardziej rozpowszechnionym złośliwym oprogramowaniem
Badacze Check Pointa zidentyfikowali w ostatnich miesiącach kilka kampanii hakerskich wykorzystujących nową odmianę trojana Qbot, które były przeprowadzone w okresie od marca do sierpnia 2020 r. W jednej z nich Qbot był dystrybuowany przez innego szkodnika – trojana bankowego Emotet, co wskazuje na zupełnie nową technikę dystrybucji tego złośliwego oprogramowania. Co więcej nowy Qbot posiada również odświeżoną infrastrukturę c&c (dowodzenia i kontroli), dającą hakerom jeszcze więcej możliwości działania.
Najnowsza wersja malware’u ewoluowała, stając się – jak ocenia Check Point - wysoce ustrukturyzowaną i wielowarstwową. Według badaczy trojan stał się złośliwym odpowiednikiem szwajcarskiego scyzoryka, który potrafi m.in. wykradać informacje (w tym hasła, e-maile, dane kart kredytowych), instalować oprogramowanie ransomware czy dokonywać nieautoryzowanych transakcji bankowych!
Przechwytywanie wątków e-mail
Początkowy łańcuch infekcji rozpoczyna się od wysłania specjalnie spreparowanych wiadomości e-mail do organizacji lub osób prywatnych. Każda z wiadomości e-mail zawiera adres URL do pliku ZIP ze złośliwym plikiem Visual Basic Script (VBS), który zawiera kod wykonawczy w systemie Windows.
Po zainfekowaniu komputera, Qbot aktywuje specjalny „moduł do zbierania wiadomości e-mail”, który wyodrębnia wszystkie wątki wiadomości e-mail z konta Outlook ofiary i przesyła je na zakodowany na stałe serwer zdalny. Skradzione wiadomości e-mail są następnie wykorzystywane w przyszłych kampaniach spamowych, co ułatwia nakłonienie użytkowników do kliknięcia zainfekowanych załączników, ponieważ spam wydaje się kontynuować istniejącą wymianę e-maili.
Nasze badania pokazują, że nawet starsze formy złośliwego oprogramowania można aktualizować o nowe funkcje, aby uczynić je niebezpiecznym i trwałym zagrożeniem. Hakerzy intensywnie inwestują w rozwój Qbota, aby umożliwić kradzież danych na masową skalę - zarówno od organizacji, jak i osób fizycznych. Byliśmy świadkami kampanii złośliwego spamu, które rozpowszechniały Qbota bezpośrednio, a także takich, które wykorzystywały inne infrastruktury infekcyjne do dalszego rozprzestrzeniania zagrożenia. Mamy nadzieję, że nasze obserwacje i badania nad Qbotem pomogą położyć kres temu zagrożeniu. – mówi Yaniv Balmas, szef działu badan cybernetycznych w Check Point - Na razie zdecydowanie polecam uważne obserwowanie e-maili pod kątem oznak wskazujących na próbę wyłudzenia informacji - nawet jeśli wiadomość e-mail wydaje się pochodzić z zaufanego źródła – dodaje ekspert Check Pointa.
Jak na razie głównym celem ataków Qbota były Stany Zjednoczone, w których zanotowano prawie 29 proc. wszystkich infekcji. Na celowniku hakerów byli również użytkownicy z Indii, Izraela i Włoch – w tych krajach odnotowano odpowiednio 7 proc. wszystkich ataków.
Miłosz Stolarz, Bellini-Capital, mw
CZYTAJ TEŻ: Niemcy próbują wymusić na polskim rządzie przyjęcie wysłannika Berlina
