Kötü şöhretli 'Grandoreiro' bankacılık Truva atı, İspanya'daki bir kimyasal üreticisinin çalışanlarını ve Meksika'daki otomotiv ve makine üreticilerinin çalışanlarını hedefleyen son saldırılarda tespit edildi.
Kötü amaçlı yazılım en az 2017'den beri vahşi doğada aktiftir ve İspanyolca konuşan kullanıcılar için türünün en önemli tehditlerinden biri olmaya devam etmektedir.
Zscaler'daki analistler tarafından tespit edilen son kampanya, Haziran 2022'de başladı ve halen devam ediyor. Tespit ve anti-analizden kaçınmak için birkaç yeni özelliğin yanı sıra yenilenmiş bir C2 sistemine sahip bir Grandoreiro kötü amaçlı yazılım varyantının dağıtılmasını içerir.
Enfeksiyon zinciri, hedefe bağlı olarak Mexico City Başsavcılığı'ndan veya İspanyol Kamu Bakanlığı'ndan geliyormuş gibi davranan bir e -posta ile başlar.
Mesaj konusu devlet geri ödemeleri, dava değişiklikleri bildirimleri, ipotek kredilerinin iptali ve daha fazlası etrafında döner.
E -posta, kurbanları bir zip arşivi bırakan bir web sitesine yönlendiren bir bağlantı içerir. Bu dosya, kurbanı piyasaya sürmeye kandırmak için bir PDF dosyası olarak maskelenmiş Grandoreiro Yükleyici Modülünü kapsar.
Bu gerçekleştikten sonra, bir Delphi yükü uzak bir HTTP dosya sunucusundan ("http: // 15 [.] 188 [.] 63 [.] 127: 36992/zxetyho.xml") sıkıştırılmış bir 9.2MB şeklinde getirilir. Zip ve yükleyici tarafından çıkarılır ve yürütülür.
Bu aşamada, yükleyici sistem bilgilerini toplar, yüklü AV programlarının, kripto para cüzdanlarının ve e-bankacılık uygulamalarının bir listesini alır ve bunları C2'ye gönderir.
Asustek'ten çalınan bir sertifika ile imzalanan son yük, sanal alan analizinden kaçmak için "ikili dolgu" yöntemi ile 400MB şişirilmiş bir boyut varsayıyor.
Güvenlik analisti Ankit Anubhav tarafından Twitter'da vurgulanan bir durumda, Grandoreiro kurbandan bile bir captcha'yı sistemde çalıştırmak için çözmesini ister, bu da analizden kaçınmak için başka bir girişimdir.
Son olarak, yeniden başlatmalar arasındaki kalıcılık, iki yeni kayıt defteri anahtarı eklenerek korunur ve Grandoreiro'yu System Startup'ta başlatmak için ayarlar.
Zscaler tarafından örneklenen en son Grandoreiro varyantındaki yeni eklemelerden biri, C2 iletişimi için DGA'nın (etki alanı oluşturma algoritması) kullanılmasıdır, bu da kötü amaçlı yazılımların altyapısını haritalamayı ve zorlayıcı hale getirir.
C2 iletişim modeli artık "Action+Hello" işaretleri ve kimlik tabanlı çerez değer yanıtlarını kullanarak LatentBot ile aynıdır.
Portekiz siber güvenlik blog yazarı Pedro Taveres ilk olarak 2020'de iki kötü amaçlı yazılım suşu arasındaki ortaklıkları fark etti, ancak C2 iletişim tekniklerinin Grandoreiro'nun koduna asimilasyonu sadece son zamanlarda tamamlandı.
Ev sahibi üzerindeki kötü amaçlı yazılımların arka kapı özellikleri şunlardır:
Son kampanya, Grandoreiro'nun operatörlerinin rastgele alıcılara büyük miktarda spam e-postası göndermek yerine yüksek hedefli saldırılar yapmakla ilgilendiğini gösteriyor.
Ayrıca, kötü amaçlı yazılımın sürekli evrimi daha güçlü anti-analizi ve tespit kaçınma özellikleri, daha gizli operasyonlar için zemini koyar.
Zscaler'ın raporu mevcut kampanyanın belirli hedeflerine derinlemesine bakmasa da, Grandoreiro'nun operatörleri tarihsel olarak finansal nedenler gösterdi, bu nedenle davanın aynı kaldığı varsayıldı.
Malware Devs zaten Android 13'ün yeni güvenlik özelliğini atladı
Sova Malware, Android cihazlarını şifrelemek için fidye yazılımı özelliği ekler
Android Kötü Yazılım ‘Revive’, BBVA Bank’ın 2FA uygulamasını taklit ediyor
Google Play'de bulunan 2 milyon yüklemeli Android kötü amaçlı yazılım uygulamaları
Kötü niyetli PYPI paketleri anlaşmazlığı şifre çalan kötü amaçlı yazılımlara dönüştürür
Kaynak: Bleeping Computer