Czy to faktura za leasing? Chyba nie…. Świeży atak phishingowy skierowany na Polaków.

Niedawno pojawiła się nowa kampania phishingowa skierowana do polskojęzycznych odbiorców. Twórcy malware używając poprawnej polszczyzny namawiają swoje ofiary do otwarcia aktualnej faktury za leasing w banku BNP Paribas, w związku z wygenerowaniem nowego, indywidualnego rachunku bankowego:

Uprzejmie informujemy, iż został dla Państwa wygenerowany indywidualny numer rachunku bankowego, który jest zamieszczony na załączonym dokumencie. Bardzo prosimy o dokonywanie płatności zgodnie z informacją zawartą na dokumencie.

Dla uwiarygodnienia korespondencji z bankiem oraz ominięcia ew. ochrony antywirusowej, plik zabezpieczony jest hasłem, podanym w e-mailu.

Sposób dystrybucji to wysyłka na ogólne adresy e-mailowe firm typu: biuro@ sekretariat@ czy administracja@. 

Skuteczna infekcja powoduje pobranie droppera, który instaluje oprogramowania typu RAT (Remote Access Trojan) na komputerze ofiary. W efekcie komputer może być użyty do dowolnych działań, od dystrybucji malware wewnątrz sieci aż po rozsyłanie spamu czy kradzież danych (w tym np. danych logowania do bankowości elektronicznej).

Ciekawostką jest użycie infrastruktury CDN (Content Delivery Network) komunikatora Discord do hostowania malware. 

Po rozpakowaniu pliku, obecna skuteczność antywirusów jest dość mizerna (obecnie 7 z 66 silników). 

Z dobrych wiadomości – malware jest wykrywany przez wbudowaną ochronę w Office365, co powoduje, że spora część firm korzystająca z produktu Microsoftu, może odetchnąć z ulgą.

~bq