Хакеры атакуют авиакомпании с помощью нового загрузчика RAT

Хакеры атакуют авиакомпании с помощью нового загрузчика RAT

Загрузчик Snip3 используется для установки Revenge RAT, AsyncRAT, Agent Tesla и NetWire RAT на скомпрометированных системах.

Специалисты компании Microsoft предупредили о текущей вредоносной кампании целенаправленного фишинга, нацеленной на аэрокосмические и туристические организации. Преступники используют ряд троянов для удаленного доступа, установленных с помощью нового скрытного загрузчика вредоносных программ.

Фишинговые электронные письма злоумышленников отправляются якобы от имени легитимных организаций и замаскированы под документы в формате PDF, содержащие тематическую информацию. Встроенные в фишинговые сообщения ссылки загружают файлы VB Script, выполняющие PowerShell-скрипт. Последний, в свою очередь, выполняет окончательные полезные данные RAT с использованием Process Hollowing.

После установки вредоносное ПО способно красть учетные данные, делать снимки экрана, похищать данные web-камеры, браузера и буфера обмена, информацию о системе и сети, а также передавать данные через порт 587 SMTP.

Загрузчик, получивший названный Snip3, используется для установки полезных нагрузок Revenge RAT, AsyncRAT, Agent Tesla и NetWire RAT на скомпрометированных системах.

Snip3 также имеет возможность идентифицировать песочницу и виртуальные среды и таким образом избегать обнаружения со стороны антивирусных решений. Загрузчик вредоносных программ также использует дополнительные методы для избегания обнаружения, включая:

  • выполнение PowerShell-кода с параметром remotesigned;

  • использование Pastebin и top4top;

  • компиляция загрузчиков RunPE на оконечной точке во время выполнения.

Индикаторы компрометации, связанные с текущей кампанией, включая хэши образцов вредоносных программ и домены C&C-серверов RAT, можно найти в здесь .

Ваша приватность умирает красиво, но мы можем спасти её.

Присоединяйтесь к нам!