Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Банковский троян Mispadu нацелен на Латинскую Америку: украдено более 90 000 учетных данных

22/03/23

hack bank3-Mar-22-2023-10-28-05-4170-AM

Специалисты ИБ-компании Metabase Q сообщают , что операторы банковского трояна Mispadu проводят несколько спам-кампаний в Боливии, Чили, Мексике, Перу и Португалии и других странах, с целью кражи учетных данных и доставки другого вредоносного ПО. Об этом пишет Securitylab.

 

gq3jxcwjc16n16g30fdanrkhzqpyvoyy

По словам экспертов, кампания началась в августе 2022 года. Троян Mispadu (URSA) был впервые задокументирован ESET в ноябре 2019 года. Тогда исследователи выделили его способность похищать средства и учетные данные, а также делать снимки экрана и перехватывать нажатия клавиш.

Одной из их основных стратегий заражения Mispadu:

  1. компрометация уязвимых сайтов WordPress;
  2. превращение их в сервер управления и контроля (C2);
  3. распространение вредоносных программ с C2-сервера,
  4. фильтрация стран, которые нельзя заражать.

Цепочка атак включает в себя электронные письма, призывающие получателя открыть поддельные просроченные счета. Когда жертва открывает HTML-вложение, Mispadu проверяет, что файл был открыт с настольного компьютера, а затем перенаправляет жертву на удаленный сервер для загрузки вредоносного архива.

Архив RAR или ZIP использует поддельные цифровые сертификаты, один из которых представляет собой вредоносное ПО Mispadu, а другой — установщик AutoIT для декодирования и запуска трояна с использованием легитимной утилиты командной строки certutil .

Mispadu позволяет собирать список установленных антивирусных решений, перехватывать учетные данные из Google Chrome и Microsoft Outlook и загружать дополнительные вредоносные программы, среди которых обфусцированный VBS-дроппер, предназначенный для доставки полезной нагрузки с жестко закодированного домена. Доставляемая полезная нагрузка представляет из себя:

  1. инструмент удаленного доступа на основе .NET, который может выполнять команды, получаемые с C2-сервера;
  2. загрузчик, написанный на Rust, который запускает PowerShell-загрузчик для запуска файлов непосредственно из памяти.

Более того, вредоносное ПО использует оверлей для получения учетных данных от онлайн-банка, и другой конфиденциальной информации.

Metabase Q отметила, что использование «certutil» позволил Mispadu обойти обнаружение широким спектром антивирусов и собрать более 90 000 учетных данных онлайн-банков с более 17 500 уникальных веб-сайтов.

Темы:Банки и финансыПреступлениятрояныESETЮжная Америка
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

  • Топ-8 ошибок соответствия ГОСТ 57580.1
    Константин Чмиль, консультант по ИБ RTM Group
    Регулятор вводит все новые положения, которые собраны в ГОСТ 57580.1 и ужесточаются год от года. Если постоянно проходить проверку на соответствие требованиям этого документа, то вероятность возникновения инцидентов можно свести к минимуму.
  • КиберНЕустойчивость и как с ней бороться
    Александр Пуха, начальник отдела аудита и консалтинга АМТ-ГРУП
    Определение показателей операционной надежности для технологических процессов
  • Кибербезопасность ЦВЦБ – цифровой валюты центрального банка
    Александр Подобных, Независимый эксперт по ИБ в SICP.ueba.su
    Если все планы реализуются, то с 1 апреля 2023 г. цифровой рубль должен появиться в экономическом пространстве
  • Обзор изменений в законодательстве. Март, апрель-2022 г.
    Анастасия Заведенская, старший аналитик Аналитического центра Уральского центра систем безопасности
    Импортозамещение в КИИ. Реестр значимых объектов и изменения в правила категорирования. Отмена плановых проверок по вопросам лицензионного контроля. Единые требования о защите информации в ГИС. Профиль защиты ПО для финансового сектора. Снижение регуляторной и надзорной нагрузки от Банка России. Аккредитация владельцев и операторов ГИС. Изменения в федеральный закон о ПДн.
  • Рвение сотрудников часто вредит безопасности
    Вячеслав Касимов, Директор департамента информационной безопасности ПАО «Московский кредитный банк»
    Если организация защищена на техническом уровне, то злоумышленникам остается искать выходы на работников
  • Фиды для SOC. Осведомлен – значит вооружен
    Александр Пирожков, Руководитель группы по развитию бизнеса в СНГ и Грузии компании ESET
    Разведка в сфере ИБ – это подключение потоков данных об угрозах. Рано или поздно каждый современный SOC осваивает данный инструмент.

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...