Наблюдаван е нов многостепенен зареждащ модул, наречен DoubleFinger, който доставя криптовалутен крадец, наречен GreetingGhoul, в рамките на усъвършенствана атака, насочена към потребители в Европа, САЩ и Латинска Америка.

„DoubleFinger се разгръща на целевата машина, когато жертвата отвори злонамерен PIF прикачен файл в имейл съобщение, като в крайна сметка изпълнява първия от етапите на зареждащия модул DoubleFinger“, заяви изследователят на Kaspersky Сергей Ложкин в доклад от понеделник.

Отправната точка на атаките е модифицирана версия на espexe.exe – което се отнася до приложението на Microsoft Windows Economical Service Provider – която е разработена така, че да изпълнява шелкод, отговорен за извличането на PNG файл с изображение от услугата за хостинг на изображения Imgur.

Изображението използва стеганографски трик, за да скрие криптиран полезен товар, който задейства четиристепенна верига на компрометиране, която в крайна сметка завършва с изпълнението на крадеца GreetingGhoul на заразения хост.

Забележителен аспект на GreetingGhoul е използването на Microsoft Edge WebView2 за създаване на фалшиви наслагвания върху легитимни портфейли за криптовалути, за да се изсмучат идентификационните данни, въведени от нищо неподозиращи потребители.

DoubleFinger, в допълнение към пускането на GreetingGhoul, също така е забелязан да доставя Remcos RAT, търговски троянски кон, който е широко използван от  заплахи за нанасяне на удари по европейски и украински структури през последните месеци.

Анализът „разкрива високо ниво на изтънченост и умения в разработването на криминален софтуер, подобно на напредналите постоянни заплахи (APT)“, отбелязва Ложкин.

„Многоетапното зареждане в стил shellcode със стеганографски възможности, използването на Windows COM интерфейси за скрито изпълнение и прилагането на process doppelgänging за инжектиране в отдалечени процеси – всичко това говори за добре изработен и сложен криминален софтуер.“