اكتشف فريق استخبارات التهديدات في Cisco Talos حملة طروادة trojan campaign جديدة يمكنها سرقة بيانات الاعتماد الشخصية من متصفحات الويب و Microsoft Outlook وتطبيقات المراسلة الفورية. تبدأ طريقة الهجوم برسالة بريد إلكتروني تصيدية تحتوي على مرفق ملف HTML ضار.
أوضحت Vanja Svajcer، وهي باحثة في مجال التوعية لشركة Cisco Talos: "يستخدم نهج متعدد الوحدات يبدأ بالبريد الإلكتروني للتصيد الاحتيالي الأولي وينتقل إلى الحمولة النهائية". "من المحتمل أن يقوم الخصوم الذين يقفون وراء هذه الحملة بذلك لتجنب الكشف. لكنها يمكن أن تكون أيضًا نقطة ضعف، حيث يوجد الكثير من الفرص للمدافعين لكسر سلسلة القتل".
يرسل المهاجمون أولاً رسالة بريد إلكتروني تحتوي على سطر موضوع يدعي أنه يتعلق بعمل معين. سيكون مصحوبًا بمرفق RAR يقوم بإنشاء ملفات بامتداد RAR .r00. وبعد ذلك بامتداد .chm. ملف CHM هو تنسيق HTML مترجم، وفي هذه الحالة، يحتوي على كود JavaScript الذي سيبدأ عملية الإصابة.
نلتقي مرة أخرى
يُعرف نوع حصان طروادة المستخدم في هذه الحملة باسم "Masslogger" وقد شوهد من قبل. تم إصدار Masslogger لأول مرة في أبريل 2020 وتم بيعه في المنتديات السرية كوسيلة لسرقة بيانات الاعتماد، معظمها من المتصفحات ولكن أيضًا من عملاء البريد الإلكتروني وتطبيقات المراسلة.
بالنسبة لهذه الحملة، يبدو أن الفاعل أو المجموعة المعنية كانت لديها أهداف محددة في الاعتبار أو على الأقل منطقة معينة شعرت بالراحة في استهدافها - بشكل أساسي شرق وجنوب أوروبا. حددت شركة Cisco Talos رسائل بريد إلكتروني تستهدف لاتفيا وليتوانيا وتركيا وبلغاريا وإستونيا ورومانيا والمجر وإيطاليا وإسبانيا، وبعضها مكتوب باللغة الإنجليزية.
لمنع هذا الاستغلال، يجب على الأفراد إجراء عمليات مسح منتظمة وخلفية للذاكرة، واستخدام حلول أمان الويب والبريد الإلكتروني المحدثة والبقاء متيقظين ضد رسائل البريد الإلكتروني المشبوهة.
أوضحت Vanja Svajcer، وهي باحثة في مجال التوعية لشركة Cisco Talos: "يستخدم نهج متعدد الوحدات يبدأ بالبريد الإلكتروني للتصيد الاحتيالي الأولي وينتقل إلى الحمولة النهائية". "من المحتمل أن يقوم الخصوم الذين يقفون وراء هذه الحملة بذلك لتجنب الكشف. لكنها يمكن أن تكون أيضًا نقطة ضعف، حيث يوجد الكثير من الفرص للمدافعين لكسر سلسلة القتل".
يرسل المهاجمون أولاً رسالة بريد إلكتروني تحتوي على سطر موضوع يدعي أنه يتعلق بعمل معين. سيكون مصحوبًا بمرفق RAR يقوم بإنشاء ملفات بامتداد RAR .r00. وبعد ذلك بامتداد .chm. ملف CHM هو تنسيق HTML مترجم، وفي هذه الحالة، يحتوي على كود JavaScript الذي سيبدأ عملية الإصابة.
نلتقي مرة أخرى
يُعرف نوع حصان طروادة المستخدم في هذه الحملة باسم "Masslogger" وقد شوهد من قبل. تم إصدار Masslogger لأول مرة في أبريل 2020 وتم بيعه في المنتديات السرية كوسيلة لسرقة بيانات الاعتماد، معظمها من المتصفحات ولكن أيضًا من عملاء البريد الإلكتروني وتطبيقات المراسلة.
بالنسبة لهذه الحملة، يبدو أن الفاعل أو المجموعة المعنية كانت لديها أهداف محددة في الاعتبار أو على الأقل منطقة معينة شعرت بالراحة في استهدافها - بشكل أساسي شرق وجنوب أوروبا. حددت شركة Cisco Talos رسائل بريد إلكتروني تستهدف لاتفيا وليتوانيا وتركيا وبلغاريا وإستونيا ورومانيا والمجر وإيطاليا وإسبانيا، وبعضها مكتوب باللغة الإنجليزية.
لمنع هذا الاستغلال، يجب على الأفراد إجراء عمليات مسح منتظمة وخلفية للذاكرة، واستخدام حلول أمان الويب والبريد الإلكتروني المحدثة والبقاء متيقظين ضد رسائل البريد الإلكتروني المشبوهة.
