Jarosław Kowalczyk nie wysyła Formbooka

Przestępcy wracają do niewykorzystywanego od dawna wektora ataku. Do skrzynek służbowych w polskich firmach trafiają dzisiaj (i być może będą jeszcze przez kilka dni) takie maile:

Imię i nazwisko, pod które podszywają się sprawcy, zostawiliśmy jako istotną informację, jednak dane pozwalające zidentyfikować prawdziwą, istniejącą firmę – usunęliśmy.

W załączniku znajdziemy plik o rozszerzeniu iso, który po rozpakowaniu okaże się być plikiem wykonywalnym Ord8593.exe (md5: afcdd673effcf464d06c021e5ce0d247). Po kliknięciu weń nie zobaczymy rzecz jasna żadnej faktury, lecz zainfekujemy swój komputer stealerem Formbook. W południe 26 sierpnia opisywaną próbkę wykrywało 27 z 68 silników antywirusowych.

Próbka posiada w sobie dość charakterystyczne metody by uniknąć wykrycia podczas jej analizy, wdrażając się w takie procesy systemu Windows, jak:

• ipconfig.exe
• mstsc.exe
• msdt.exe
• svchost.exe
• msiexec.exe
• help.exe
• chkdsk.exe
• taskhost.exe
• rundll32.exe
• cmd.exe

Testowana próbka próbuje się połączyć z jednym z szeregu serwerów Command&Control (część nie jest na obecną chwilę dostępna):

• hxxp://www.hashburn.net
• hxxp://www.emoblow.com
• hxxp://www.cattedralidismeraldo.com
• hxxp://www.xn--oy2bp4tkrcpa.com
• hxxp://www.rightlokation.com
• hxxp://www.emprendedorasdehogar.com
• hxxp://www.daylamiagency.com
• hxxp://www.screensaver.network
• hxxp://www.finegoodses.store
• hxxp://www.bulukx.com
• hxxp://www.finegoodses.store
• hxxp://www.teacheex.com
• hxxp://www.redevelopment37subhashnagar.com
• hxxp://www.fastpass.info