Контакты
Подписка 2025
ITSEC 2025
Интеграция безопасности в процессы внутренней разработки. 17-18 июня на Форуме ITSEC 2025
Регистрируйтесь и участвуйте!

Киберпреступники с вредоносом Horabot нацелились на пользователей Windows в странах Латинской Америки

16/05/25

hack64

Новый виток рассылки вредоносного ПО Horabot был зафиксирован в апреле 2025 года и представляет собой тщательно спланированную операцию, направленную на испаноязычную аудиторию в Мексике, Гватемале, Колумбии, Перу, Чили и Аргентине.

Атака начинается с фишинговых писем, замаскированных под финансовые документы или счета, пишут в Securitylab. Жертве предлагается открыть ZIP-архив, якобы содержащий PDF-файл. На деле внутри находится вредоносный HTML-документ с закодированным скриптом, который связывается с удалённым сервером и загружает следующий этап вредоносной цепочки. Второй архив содержит HTA-файл, исполняющий скрипт, который внедряет внешний VBScript — он проверяет наличие антивируса Avast и следов виртуальной среды, завершая выполнение в случае обнаружения защиты.

После прохождения этих проверок скрипт собирает базовую информацию о системе, отправляет её злоумышленникам, а затем загружает дополнительные компоненты. Среди них — скрипт на AutoIt, запускающий банковский троян через вредоносную DLL, и PowerShell-команда, ответственная за дальнейшее распространение фишинговой рассылки. Для этого вредонос использует Outlook COM-автоматизацию, чтобы отправлять письма от имени уже заражённых пользователей, создавая впечатление легитимной переписки и усиливая эффект цепной реакции.

Особое внимание Horabot уделяет краже учётных данных и конфиденциальной информации. Зловред способен извлекать данные из популярных браузеров — включая Chrome, Edge, Opera, Brave, Yandex, Cent и другие. Он не только копирует сохранённые пароли и сессии, но и анализирует действия пользователя, подменяя интерфейс поддельными окнами входа. Таким образом, жертва вводит свои логины в форму, визуально неотличимую от настоящей, и не замечает, как передаёт их в руки злоумышленников.

Horabot впервые был замечен в 2023 году, хотя его активность отслеживается как минимум с конца 2020 года. Аналитики связывают кампанию с группой, предположительно действующей из Бразилии. В 2024 году Trustwave SpiderLabs зафиксировали аналогичную фишинговую волну, имеющую значительное сходство с методами и кодовой базой Horabot.

Нынешняя кампания продолжает тенденцию гибридных атак, в которых сочетается социальная инженерия, многоступенчатая загрузка вредоносного кода, обход защиты и автоматизация lateral movement. Использование обычных инструментов Windows, таких как VBScript, AutoIt и PowerShell, помогает вредоносному ПО оставаться незаметным и затрудняет его обнаружение традиционными средствами защиты.

Темы:WindowsПреступленияфишингAvastЮжная Америка
КИИ
Защита контейнеров и микросервисной разработки на Форуме ITSEC 2025
Регистрируйтесь и участвуйте 18 июня 2025 →
Статьи по темеСтатьи по теме

  • Кто зарабатывает на вэйлинге в России?
    Алексей Гусев, старший советник председателя правления банка “ЦентроКредит”, преподаватель РТУ РУДН и НИЯУ МИФИ
    Вэйлинг – специализированный и таргетированный вариант привычного фишинга, нацеленный на VIP-клиентов, относится к не столь распространенному и потому редко упоминаемому виду. Однако в последнее время хакеры начинают обращать на него внимание, а его методики используются в качестве базы для более сложного таргетированного фишинга.
  • 5 атак нового поколения, актуальных в 2023 году
    Александра Соколова, редактор Cloud Networks
    Технологии развиваются беспрецедентными темпами, и, как следствие, растет арсенал инструментов, доступных киберпреступникам для проведения сложных атак.
  • Своя атмосфера: что давно пора сделать для защиты электронной почты
    Илья Померанцев, продуктовый аналитик департамента сетевой безопасности Group-IB
    Рассмотрим три реальные атаки через корпоративную почту, обнаруженные и остановленные нашей системой Group-IB Threat Hunting Framework
  • Примеры фишинга через электронную почту: Как распознать фишинговое письмо
    Антон Тихонов, Технический менеджер направления McAfee
    Готовая инструкция, как распознать фишинговое письмо: простые советы

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Проектирование и защита API на Форуме ITSEC 2025
Посетите 17-18 июня →

Еще темы...

More...