Afrika bankaları, uzaktan erişim trojanlarını (sıçanlar) bırakmak için HTML kaçakçılığı püf noktaları ve yazım hatası olan kötü amaçlı etki alanlarını kullanan kötü amaçlı yazılım dağıtım kampanyaları tarafından giderek daha fazla hedeflenmektedir.
Hızlı finansal kazançlarla ilgilenen siber suçlar, katı ağ geçidi güvenlik kontrollerini dağıtmaya başvuran Afrika'daki bankalar için sürekli bir sorun kaynağıdır.
Bu, tehdit aktörlerini koruma önlemlerini atlayabilecek daha akıllı saldırılara ve 2022'de banka hedefleme kampanyalarının hileler kombinasyonu kullanılarak görülmesini sağlamıştır.
Bu 2022 kampanyadan biri, analistleri rakiplerin taktiklerine ve takip ettikleri enfeksiyon adımlarına bakan HP Wolf Security tarafından keşfedildi.
Saldırı, meşru bir şirketin URL'sini, tipik olarak bir rakip bankası olan bir şirketin URL'sine benzeyen bir banka çalışanı gönderilen bir kimlik avı e-postasıyla başlar.
E-posta alıcıyı kazançlı bir iş teklifi ile sunar ve söz konusu sitenin ayrıntılarına bağlantılar. Bu bağlantıyı takip etmek, mağduru uygulama talimatlarını içeren bir web sayfasına götürür.
Bu sayfanın içeriği, Mimicked Bank'ın gerçek bir listesinden kopyalanır, bu nedenle detaylar ikna edici derecede gerçekçi görünmektedir.
Bu siteler phishing veya ev sahibi kötü amaçlı yazılımları yerine getirmez, bu nedenle tek amacı mağduru enfeksiyon yolunu aşağı yönlendirmektir.
Yük yükü, bahsedilen e-posta iletisinde bir HTML eki formuna gelir, bu, antökü üzerinde kodu çözüldü ve tarayıcıdaki bir JavaScript blob ile indirilmesini sağlayan bir taban64 kodlu ISO arşiv dosyası olan
E-posta güvenlik ürünlerinden alarmları yükseltmeden riskli dosya formatlarını gizlice gizleyen bu teknik, HTML kaçakçılığı denir ve iyi kurulmuş ve trending yükü dağıtım yöntemidir.
ISO dosyası, yeni bir kayıt defteri anahtarı oluşturmak ve çeşitli Windows API işlevlerini çağıran PowerShell komutlarını çalıştırmak için çift tıklamayı çalıştıran bir Visual Basic Script (VBS) dosyası içerir.
Bir dizi kötü niyetli kod uygulamasından ve Windows API kötüye kullanımı, Guloader sisteme birleştirilir ve Remcosrat kötü amaçlı yazılımını indirmek ve çalıştırmak için yürütülür.
HP'nin Tehdit Analistlerine göre, Guloader yapılandırmasında iki indirme URL'sine sahip, biri DropBox'a ve OneDrive'a işaret ettiğinde, bu aşamada bazı yedeklilikler var.
Guloader'ın Kayıt defterinde depolanan PowerShell üzerinden yürütüldüğünü ve sistem belleğinde çalıştırıldığını not etmek de önemlidir, bu nedenle çoğu anti-virüs aleti tespit etmeyecektir.
HP'nin işaret ettiği gibi, enfeksiyon zincirini kırmanın tek yolu, VBS dosyasının gerçek doğasını ortaya çıkaracak olan Windows Script Host'dan Windows Script Host'dan gelen varsayılan uygulamayı ayarlamak olacaktır.
REMCOS, birkaç yıldır kötü amaçlı amaçlar için siber suçlar tarafından kullanılmış olan bir tür meşru ticari uzaktan erişim aracıdır (sıçan).
Uzaktan kumanda yürütülmesi, ekran görüntüsü yakalama, keystroke günlüğünü, web kamerası ve mikrofon kaydını ve daha fazlasını destekleyen güçlü bir araçtır.
Potansiyel olarak, tehdit aktörleri, işlem detayları üzerine koklamak için Remcos'u kullanır, değerli kimlik bilgilerini çalın, bankanın ağında yanal hareket edin veya BEC saldırıları için gereken bilgileri çalın.
Verilerden finansal gasp, veriler yoluyla veya fidye yazılımı dağıtımı da muhtemeldir, ancak tehdit aktörleri her zaman ağ erişimini diğer bilgisayar korsanlarına satmayı ve kanun uygulayıcı sorunları riske girmeden hızlı bir para kazanmayı tercih edebilir.
ATM bankacılık verilerini çalmak için kullanılan yeni UNIX Rootkit
Yeni Kimlik Avı Kampanyası Monzo Çevrimiçi Bankacılık Müşterilerini Hedefliyor
Kanada'nın ana bankaları gizemli saatler süren kesintisiz çevrimdışı
Ukrayna askeri ajansları, devlete ait bankalar DDOS saldırılarına çarptı
Kaynak: Bleeping Computer