Ο Nick Biasini από το τμήμα ερευνών TALOS IT security της Cisco εντόπισε μια νέα καμπάνια e-mails που διανέμουν την εξελιγμένη έκδοση v3.0 του CryptoWall ransomware. Τα e-mails που εντόπισε έχουν σας θέμα την αποστολή βιογραφικού και το κακόβουλο λογισμικό που παραδίδουν φαίνεται ότι δεν μπορεί να εντοπιστεί από ορισμένα antivirus.
Να αναφέρουμε ότι διανομή των crypto-malware με τον τρόπο αυτό δεν είναι ασυνήθιστη.
Η συγκεκριμένη κακόβουλη εκστρατεία χρησιμοποιεί το γνωστό κόλπο του “RE.” Το μήνυμα ηλεκτρονικού ταχυδρομείου που αποστέλλεται στα υποψήφια θύματα έρχεται σαν να είναι απάντηση σε προηγούμενο μήνυμα. Μέσα στο e-mail, υπάρχει συνημμένο το κακόβουλο αρχείο σε ZIP που περιέχει ένα έγγραφο HTML.
Το αρχείο ανακατευθύνει σε μια κακόβουλη ιστοσελίδα WordPress που περιέχει ένα IFRAME που ανακατευθύνει σε ένα λογαριασμό του Google Drive. Εκεί φιλοξενείται το κακόβουλο λογισμικό (CryptoWall), το οποίο είναι μεταμφιεσμένο σε αρχείο PDF. Στην πραγματικότητα είναι ένα εκτελέσιμο αρχείο (SCR) που χρησιμοποιείται για screensavers.
Ο Nick Biasini ανέλυσε την αλυσίδα μόλυνσης και ανέφερε:
“Αυτές οι επιθέσεις είναι επιτυχείς, γιατί αυτοί οι τύποι των e-mails θεωρούνται νόμιμοι. Αν κάποιος βρίσκεται στη διαδικασία πρόσληψης ή την αξιολόγηση υποψηφίων είναι πολύ πιθανό να ανοίξει τα συνημμένα και ακολουθήσει τη διαδικασία.”
Το τελικό ωφέλιμο φορτίο είναι το CryptoWall, το οποίο, παρά το γεγονός ότι καλά γνωστό στον κλάδο της ασφάλειας, παραδίδεται με μικρές παραλλαγές για αποφυγή της ανίχνευσης. Ο ερευνητής αναφέρει ότι τα hashes αλλάζουν συχνά για να επιτρέπουν μεγαλύτερα χρονικά διαστήματα απόκρυψης από τα antivirus.
Η online υπηρεσία VirusTotal, για την συγκεκριμένη εκστρατεία, εμφανίζει πολύ λίγα προϊόντα που μπορούν να ανιχνεύσουν το κακόβουλο λογισμικό και κανένα από αυτά δεν φαίνεται να αναγνωρίζει τον τύπο του.
Ωστόσο, με την δημοσίευση του ερευνητή, θα είναι σύντομα αναγνωρίσιμο με τις επόμενες ενημερώσεις των antivirus που χρησιμοποειείτε. Να μην ξεχνάμε είναι μόνο μια ελαφρώς τροποποιημένη έκδοση ransomware.
Γνωστά Hashes:
Zip Files
6be76dcc877ac42d5af53807b4be92172dea245142e948dba1367c274ab6a508
36da04ec68a9e0031f89d12065317f8a64ca3598ad0349991fb684e323435a62
10fbbeb985f18de13a145f05314a4ab2aaf42fcc276c3e24c6491b6482fe1d5f
2a7b9016bb8004d101dba337c5d1e679c4b88bea198e425a42081ec4186e5b45
b53b58df6445bc4c754f178af66f0b3a5ddf1e93971439d05be61ad9f0bc0997
5fead4017f0770fd0dd8a99b97b514730f46c30ecd61857b1359701b2d73caa7
0c066baf5153cd8e522b74316fed24c075020ff59c52361f253918fa2d66c7ad
3889d489f3905164b2c5731b8fb9c9bbe95ead175c7070f0aa77efe040a18b35
5bf3471231a4b0a5ad0685c9ee36e9f1f21df3f6c8fcbcb83d60fd64cc513582
f6ad2ad1fceb98f6a61360afd17d02dab4c0d2919fa6ddfd978582cf044a9655
81af832b81e034dfe742698104a90c1ff6bd490e1c289a49968a15036a268a6b
2c03f7497ea8cfc4e8633f0ced8d28e65d8505f94e8d28297c7096f42d8bf2a2
2dd699613d9b6b709e4667457acefc3009db57684a85f488396c4e8f4c2d9521
Cryptowall 3.0
41188ce5a34605fd853b48ea1f026dc5ffc778c808be57d630f87146c7dd3bad
