BazarBackdoor теперь распространяется через формы обратной связи на сайтах

BazarBackdoor теперь распространяется через формы обратной связи на сайтах

Новый способ распространения позволяет ему эффективнее обходить обнаружение антивирусными решениями.

Вредоносное ПО BazarBackdoor теперь распространяется не через фишинговые письма, а через формы обратной связи на сайтах, что позволяет ему эффективнее обходить обнаружение антивирусными решениями.

BazarBackdoor представляет собой скрытый бэкдор, созданный киберпреступной группировкой TrickBot и в настоящее время использующийся в операциях кибервымогателей Conti. Вредонос обеспечивает злоумышленникам удаленный доступ к внутреннему устройству, который можно использовать как стартовую площадку для дальнейшего перемещения по сети жертвы.

Как правило, BazarBackdoor распространялся через фишинговые письма с вредоносным вложением, загружавшим и устанавливавшим вредоносное ПО на атакуемой системе. Однако фильтры в сервисах электронной почты становятся все более эффективными в обнаружении вредоносных загрузчиков, поэтому киберпреступники нашли новый способ распространения.

Как пояснили специалисты из Abnormal Security, новая кампания по распространению BazarBackdoor началась в декабре 2021 года и нацелена на корпоративных пользователей. Вероятно, целью заражения является развертывание в их сетях Cobalt Strike или вымогательского ПО.

Вместо рассылки фишинговых писем злоумышленники теперь используют форму обратной связи на корпоративных сайтах. В одном из изученных исследователями случаев хакеры выдавали себя за сотрудников канадской строительной компании, подавших заявку на покупку материалов.

Когда сотрудник ответил на фишинговое письмо, злоумышленники отправили в ответ вредоносный файл ISO, якобы имеющий отношение к заказу.

Поскольку непосредственная отправка файла вызвала бы срабатывание антивирусного решения, хакеры использовали файлообменный сервис.

Архив ISO содержал файлы .lnk и .log. Идея заключалась в том, чтобы обойти антивирусные решения путем упаковки полезной нагрузки в архив, чтобы пользователь разархивировал ее вручную.

Файл .lnk содержит инструкцию, открывающую окно терминала с помощью двоичных кодов Windows, и загружает файл .log, который на самом деле является BazarBackdoor DLL. После загрузки бэкдор внедряется в процесс svchost.exe и подключается к C&C-серверу для получения дальнейших команд.


Мир сходит с ума и грянет киберапокалипсис. Подпишись на наш Телеграм канал, чтобы узнать первым, как выжить в цифровом кошмаре!