Nowa kampania „fakturowa”

W ostatnich dniach CERT Orange Polska obserwuje wzrost zawiadomień, dotyczących nowej kampanii phishingowej. Przestępcy uparcie i konsekwentnie usiłują nas przekonać, że zagapiliśmy i mamy do zapłacenia fakturę w firmie, o której pierwszy raz słyszymy:

W wersji „nie-CERT” oczywiście w załączniku znajdziemy plik, w przypadku naszych próbek nosił on nazwę Faktura_181004_18698.rar (SHA-256: 82db6522588978a7602825eb6e8db24202ef8dd7f34577fb8b2cdc78cd121577). Szybka analiza wykazuje, iż jest to Trojan Downloader, instalujący w następnych krokach na komputerze ofiary dodatkowe, zależne od woli botmastera, złośliwe pliki.

We wszystkich otrzymanych próbkach forma była praktycznie identyczna, jak w przytoczonym powyżej screenshocie. W przypadku większości z nich domena nadawcy wydawała się być adresem normalnej, istniejącej firmy, co może oznaczać, iż przestępcy wykorzystują przejęte konta e-mailowe. O ile personalia „nadawcy” w nazwie i w podpisie zgadzają się, to już firma domniemanego nadawcy w podpisie różni się od domeny konta pocztowego.