Наблюдаван е нов многостепенен зареждащ модул, наречен DoubleFinger, който доставя криптовалутен крадец, наречен GreetingGhoul, в рамките на усъвършенствана атака, насочена към потребители в Европа, САЩ и Латинска Америка.

„DoubleFinger се разгръща на целевата машина, когато жертвата отвори злонамерен PIF прикачен файл в имейл съобщение, като в крайна сметка изпълнява първия от етапите на зареждащия модул DoubleFinger“, заяви изследователят на Kaspersky Сергей Ложкин в доклад от понеделник.

Отправната точка на атаките е модифицирана версия на espexe.exe – което се отнася до приложението на Microsoft Windows Economical Service Provider – която е разработена така, че да изпълнява шелкод, отговорен за извличането на PNG файл с изображение от услугата за хостинг на изображения Imgur.

Изображението използва стеганографски трик, за да скрие криптиран полезен товар, който задейства четиристепенна верига на компрометиране, която в крайна сметка завършва с изпълнението на крадеца GreetingGhoul на заразения хост.

Забележителен аспект на GreetingGhoul е използването на Microsoft Edge WebView2 за създаване на фалшиви наслагвания върху легитимни портфейли за криптовалути, за да се изсмучат идентификационните данни, въведени от нищо неподозиращи потребители.

DoubleFinger, в допълнение към пускането на GreetingGhoul, също така е забелязан да доставя Remcos RAT, търговски троянски кон, който е широко използван от  заплахи за нанасяне на удари по европейски и украински структури през последните месеци.

Анализът „разкрива високо ниво на изтънченост и умения в разработването на криминален софтуер, подобно на напредналите постоянни заплахи (APT)“, отбелязва Ложкин.

„Многоетапното зареждане в стил shellcode със стеганографски възможности, използването на Windows COM интерфейси за скрито изпълнение и прилагането на process doppelgänging за инжектиране в отдалечени процеси – всичко това говори за добре изработен и сложен криминален софтуер.“

Източник: The Hacker News

Подобни публикации

18 февруари 2025

Infostealer е открит в американски военни и отб...

Израелската фирма за киберсигурност Hudson Rock твърди, че в америк...
18 февруари 2025

Десетки италиански уебсайтове са обект на руски...

По данни на италианската национална агенция за киберсигурност ACN о...
18 февруари 2025

Киберпрестъпниците крадат мощта на ИИ, а вие пл...

Атакуващите използват големи езикови модели (LLM) в т.нар. експлойт...
18 февруари 2025

Cisco: Новите смарт суичове осигуряват следващо...

Cisco твърди, че новите интелигентни суичове и решения за защитна с...
17 февруари 2025

Японски художник излага оковано във верига куче...

Изложба в галерия в Токио, в която оковано във верига куче-робот се...
17 февруари 2025

Русия насочва организациите към фишинг с код на...

Свързана с Русия заплаха, проследена като Storm-2372, е насочена къ...
17 февруари 2025

Полицията конфискува 127 сървъра на непробиваем...

Дни след като няколко правителства обявиха санкции срещу услугата з...
17 февруари 2025

Изтеглянето на DeepSeek е спряно в Южна Корея

Китайският стартъп за изкуствен интелект DeepSeek временно е спрял ...
17 февруари 2025

Уязвимостите на Xerox Versalink позволяват стра...

Уязвимостите в многофункционалните принтери Xerox VersaLink могат д...
Бъдете социални
Още по темата
18/02/2025

Infostealer е открит в амер...

Израелската фирма за киберсигурност Hudson Rock...
18/02/2025

Десетки италиански уебсайто...

По данни на италианската национална агенция...
18/02/2025

Киберпрестъпниците крадат м...

Атакуващите използват големи езикови модели (LLM)...
Последно добавени
18/02/2025

Infostealer е открит в амер...

Израелската фирма за киберсигурност Hudson Rock...
18/02/2025

Десетки италиански уебсайто...

По данни на италианската национална агенция...
18/02/2025

Киберпрестъпниците крадат м...

Атакуващите използват големи езикови модели (LLM)...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!