Новый банковский троян CHAVECLOAK нацелен на бразильских пользователей с помощью тактики фишинга😄
Пользователи в Бразилии стали жертвами нового банковского трояна под названием CHAVECLOAK, распространяющегося через фишинговые письма с вложениями в формате PDF
Эта сложная атака предполагает загрузку PDF-файла в формате ZIP и последующее использование методов побочной загрузки DLL для выполнения конечного вредоносного ПО
говорит исследователь Fortinet FortiGuard Labs Кара Лин
Цепочка атак включает в себя использование заманивающего письма DocuSign на тему контрактов, чтобы обманом заставить пользователей открыть PDF-файлы, содержащие кнопку для прочтения и подписания документов
В действительности нажатие на кнопку приводит к получению установочного файла по удаленной ссылке, сокращенной с помощью сервиса сокращения URL-адресов Goo.su.
Внутри инсталлятора находится исполняемый файл под названием "Lightshot.exe", который использует побочную загрузку DLL для загрузки "Lightshot.dll", являющейся вредоносной программой CHAVECLOAK, способствующей краже конфиденциальной информации
Вредонос собирает системные метаданные и выполняет проверку, чтобы определить, находится ли взломанная машина в Бразилии, и, если да, периодически отслеживает окно переднего плана, чтобы сравнить его с заранее определенным списком строк, связанных с банком