Czekasz na paczkę od kuriera DHL? Uważaj!

Na koniec okresu przedświątecznego szybkie ostrzeżenie. Uważajcie na maile, podszywające się pod kuriera DHL, z niechcianym prezentem pod linkiem.

Tym razem wektorem jest mail – a nie, jak ostatnio najczęściej – SMS. Choć treść w zasadzie jest podobna jak w wiadomościach tekstowych:

Z jednej strony – mamy adres nadawcy w prawdziwej domenie DHL (czyżby brak zabezpieczeń przed spoofingiem). Z drugiej jednak – link na dole prowadzi do witryny DHL w Grecji. Do tego jeszcze specyficzne personalia rzekomego nadawcy i sugestia by… naprawić nadzorcę wyjątków? Warto też zwrócić uwagę, że wiadomość wysłana jest nie do konkretnego nadawcy, lecz do listy osób, wpisanych w okienku „ukryte do wiadomości”. Wszystkim z nich usiłowano dostarczyć wiadomość 19 grudnia o godz. 13.10?

Na czym polega atak?

Skoro nie ma linku, wiadomość musi zawierać załącznik. Faktycznie jest, tradycyjnie podwójnie spakowany. Najpierw gz:

zaś w kolejnym kroku archiwum znajdziemy dwa pliki .exe:

W załączniku znajduje się znany, popularny (wśród przestępców) i (nie)lubiany Formbook. Potrafi przechwytywać loginy i hasła z przeglądarek, wykonywać zrzuty ekranu, rejestrować naciśnięcia przycisków oraz – jak większość sieciowego paskudztwa – pobierać i uruchamiać inne szkodliwe pliki.

vGyrcOYiDvBGHrx.exe
Rozmiar Pliku: 696KB
MD5: 4861b47980106197465f7c72c29f4e61
SHA1: 4431c8505e9f08b43042a3daa170ec32619a2a2a
C2: wne-coinbase[.]com
Decoys:

• hanaleikeyword.top
• fai.ovh
• jan8.site
• golcondatowing.top
• clearchoiceafh.net
• qinglvzhuang8.com
• luxurywatches.cat
• katoonishop.com
• kw2jm9er.shop
• prodctionlaser.com
• teachertransitionjobboard.com
• qzlr6.site
• kabir.tech
• hnxuefengyuan.com
• abc386.site
• ra-myportfolio.com
• bowanghg.com
• disoklahoma.com
• jordenshoots.com
• imobje.space
• sousou1.com
• kcople.xyz
• qq63904.com
• saucesfoodblog.com
• pittsborokeyword.top
• thebestowing.top
• x3nz.site
• cepxoo.com
• fghvchfgh.work
• berita138brand.xyz
• kopyasetupcleaner.com
• feministfantasypress.com
• osagetowing.top
• towersecurity.blue
• mightyspirit.shop
• noop.site
• classclips.com
• cloudcitytv.com
• jx2dolong.net
• zneckhp.site
• duv2n.com
• towing-pembroke.top
• b4x7wsf.sbs
• cs-share.com
• kgh6h4qv.shop
• sarah-banhamou.com
• mbldgreen.com
• 5e73f4s0.shop
• washingtoncrossingtowing.top
• hokeystar-ua.com
• megq.store
• todoaudiolibros.online
• foxy-store.com
• aukmaldives.com
• runhbr.asia
• dirsupsys.com
• rvonadime.com
• esmurz.top
• dein-kleinunternehmen.store
• bmw2039.com
• coindigigroup.com
• peenetic.com
• upworkmedia.net
• charityresourcellc.com

8cY81v7KTyZ7eBJ.exe
Rozmiar: 800KB
MD5: 09aea76a89c5c5bc4e20048ebc73300b
SHA1: bdc8fc1d96f9bb807d0ba637e89d4a05b52eadfe
Decoys:

• www.tainews.online
• www.blzzrd.store
• www.fytz2.site
• www.wizecove.plus
• www.football-press.net
• www.hudi.codes
• www.naviscode.net
• www.hamdan-enterprises.com
• www.brightsync.top