Yeni bir Emotet kimlik avı kampanyası, İç Gelir Servisi ve birlikte çalıştığınız şirketler tarafından gönderildiği iddia edilen W-9 vergi formlarını taklit ederek ABD vergi mükelleflerini hedefliyor.
Emotet, geçmişte Microsoft Word ve kötü amaçlı yazılımları yükleyen kötü amaçlı makrolara sahip Excel belgeleri içeren kimlik avı e -postaları aracılığıyla dağıtılan kötü şöhretli bir kötü amaçlı yazılım enfeksiyonudur.
Ancak Microsoft, indirilen ofis belgelerinde varsayılan olarak makroları engellemeye başladıktan sonra, Emotet, Emotet kötü amaçlı yazılımları yüklemek için gömülü komut dosyalarıyla Microsoft OneNote dosyalarını kullanmaya geçti.
Emotet kurulduktan sonra, kötü amaçlı yazılım, gelecekteki yanıt zinciri saldırılarında kullanmak için kurbanların e-postalarını çalacak, daha fazla spam e-postası gönderecek ve sonuçta fidye yazılımı çeteleri gibi diğer tehdit aktörlerine ilk erişim sağlayan diğer kötü amaçlı yazılımlar yükleyecektir.
Emotet kötü amaçlı yazılım operasyonları, mevcut ABD vergi sezonu gibi tatil ve yıllık iş faaliyetlerine denk gelmek için temalı kimlik avı kampanyalarını kullanıyor.
Malwarebebytes ve Palo Alto Networks Unit42'deki güvenlik araştırmacıları tarafından görülen yeni kimlik avı kampanyalarında, EMOTET kötü amaçlı yazılım, kullanıcıları sahte W-9 vergi formu ekleri içeren e-postalarla hedefler.
Malwarebytes tarafından görülen kampanyada, tehdit aktörleri, bir 'müfettiş' iç gelir hizmetinden taklit ederken 'IRS Vergi Formları W-9' başlıklı e-postalar gönderiyor.
Bu kimlik avı e-postaları, kötü niyetli bir kelime belgesi içeren 'W-9 form.zip' adlı bir zip arşivi içerir. Bu kelime belgesi, güvenlik yazılımının kötü niyetli olarak tespit etmesini zorlaştırmak için 500MB'ın üzerine şişirildi.
Ancak, artık Microsoft varsayılan olarak makroları engellediğine göre, kullanıcıların makroları etkinleştirme ve kötü niyetli kelime belgeleri kullanılarak enfekte olma sorunundan geçme olasılığı daha düşüktür.
Unit42'den Brad Duncan tarafından görülen bir kimlik avı kampanyasında, tehdit aktörleri Emotet kötü amaçlı yazılımları yükleyen gömülü VBScript dosyalarına sahip Microsoft OneNote belgelerini kullanarak bu kısıtlamaları atlıyor.
Bu kimlik avı kampanyası, aşağıda gösterildiği gibi size W-9 formları gönderen iş ortaklarından gibi davranan yanıt zinciri e-postalarını kullanır.
Ekli OneNote belgeleri, belgeyi doğru görmek için 'Görünüm' düğmesini çift tıklamanızı isteyerek korunmuş gibi davranacaktır. Ancak, bu görünümün altına gizlenmiş, bunun yerine başlatılacak bir VBScript belgesidir.
Gömülü VBScript dosyasını başlatırken, Microsoft OneNote kullanıcıyı dosyanın kötü niyetli olabileceği konusunda uyarır. Ne yazık ki, tarih bize birçok kullanıcının bu uyarıları görmezden geldiğini ve dosyaların çalışmasına izin verdiğini gösterdi.
Yürütüldükten sonra, VBScript Emotet DLL'yi indirecek ve regsvr32.exe kullanarak çalıştıracaktır.
Kötü amaçlı yazılım şimdi sessizce arka planda çalışacak, e -posta, kişiler çalacak ve cihaza daha fazla yükün yüklenmesini bekleyecektir.
W-9 veya diğer vergi formları olduğunu iddia eden herhangi bir e-posta alırsanız, önce belgeleri yerel antivirüs yazılımınızla tarayın. Bununla birlikte, bu formların hassas doğası nedeniyle, bunları Virustotal gibi bulut tabanlı tarama hizmetlerine yüklemeniz önerilmemektedir.
Normalde, vergi formları kelime ekleri olarak değil, PDF belgeleri olarak dağıtılır, bu nedenle bir tane alırsanız, onu açmaktan ve makroları etkinleştirmekten kaçınmalısınız.
Son olarak, vergi formlarının OneNote belgeleri olarak gönderileceği şüphelidir, bu nedenle e -postayı hemen silin ve bir tane alırsanız açmayın.
Her zaman olduğu gibi, en iyi savunma hattı, tanımadığınız kişilerden herhangi bir e -postayı atmaktır ve bunları tanıyorsanız, gönderip göndermediklerini onaylamak için önce telefonla onlarla iletişime geçin.
Yeni buzlu varyantlar banka sahtekarlığından kötü amaçlı yazılım sunumuna geçiş
ABD vergi mükellefleri, devam eden kimlik avı saldırılarında sıçan kötü amaçlı yazılımlarla hedeflenen
Emotet kötü amaçlı yazılım saldırıları üç aylık moladan sonra geri döndü
Emotet kötü amaçlı yazılımı, şimdi savunmalardan kaçmak için Microsoft OneNote dosyalarına dağıtıldı
Fakealls Android kötü amaçlı yazılım, telefonlarda gizlenmenin yeni yollarıyla dönüyor
Kaynak: Bleeping Computer