Хакеры атакуют авиакомпании с помощью нового загрузчика RAT

Специалисты компании Microsoft предупредили о текущей вредоносной кампании целенаправленного фишинга, нацеленной на аэрокосмические и туристические организации. Преступники используют ряд троянов для удаленного доступа, установленных с помощью нового скрытного загрузчика вредоносных программ.

Фишинговые электронные письма злоумышленников отправляются якобы от имени легитимных организаций и замаскированы под документы в формате PDF, содержащие тематическую информацию. Встроенные в фишинговые сообщения ссылки загружают файлы VB Script, выполняющие PowerShell-скрипт. Последний, в свою очередь, выполняет окончательные полезные данные RAT с использованием Process Hollowing.

После установки вредоносное ПО способно красть учетные данные, делать снимки экрана, похищать данные web-камеры, браузера и буфера обмена, информацию о системе и сети, а также передавать данные через порт 587 SMTP.

Загрузчик, получивший названный Snip3, используется для установки полезных нагрузок Revenge RAT, AsyncRAT, Agent Tesla и NetWire RAT на скомпрометированных системах.

Snip3 также имеет возможность идентифицировать песочницу и виртуальные среды и таким образом избегать обнаружения со стороны антивирусных решений. Загрузчик вредоносных программ также использует дополнительные методы для избегания обнаружения, включая:

• выполнение PowerShell-кода с параметром remotesigned;
• использование Pastebin и top4top;
• компиляция загрузчиков RunPE на оконечной точке во время выполнения.

Индикаторы компрометации, связанные с текущей кампанией, включая хэши образцов вредоносных программ и домены C&C-серверов RAT, можно найти в здесь.