#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Финансово мотивированная кампания в Латинской Америке использует фишинговые приманки на тему налогов и банковских услуг для доставки кастомизированного HVNC-бэкдора. Вредоносное ПО (ВПО) доставляется через цепочку PowerShell, запускаемую из LNK-файла, маскируется под неподписанный инструмент обновления Windows, обеспечивает закрепление в системе, а также позволяет осуществлять скрытое управление рабочим столом, регистрацию нажатий клавиш, кражу данных из браузера и поддерживать постоянные C2-связи по TCP.
-----

Финансово мотивированная кампания, направленная против организаций в Латинской Америке, использует поддельные уведомления DocuSign, налоговые документы NFe/DANFE и фишинговые страницы банковского профиля для доставки кастомизированного HVNC-бэкдора. Кампания в первую очередь нацелена на пользователей банковского и финансового секторов, при этом приманки разработаны так, чтобы имитировать рутинные административные и налоговые рабочие процессы. Инфраструктура фишинга включает в себя клоны банковских порталов и динамически генерируемые ZIP-архивы, при этом данные полезной нагрузки иногда возвращаются в Base64-кодированном виде в JSON-ответах.

Цепочка заражения состоит из четырёх этапов. Поддельная страница документа доставляет ZIP-файл, содержащий ярлык Windows LNK, замаскированный под бразильскую налоговую квитанцию, а также отвлекающие текстовые файлы с вымышленными сведениями о компании. Ярлык LNK запускает скрытый PowerShell с обходом политики выполнения и загружает и выполняет бинарный файл второй стадии. Этот бинарный файл упакован в самораспаковывающийся установщик NSIS, содержащий легитимные библиотеки OpenCV и Microsoft Visual C++, используемые в качестве маскировки. Злоумышленный исполняемый файл, обычно именуемый `UpdateAssistant.exe`, не имеет цифровой подписи и выдаёт себя за компонент обновления Windows.

Финальный 64-битный полезный груз обеспечивает скрытые возможности виртуального сетевого вычисления (VNC) через сокрытый рабочий стол. Он использует API Windows, такие как `CreateDesktopA` и `SetThreadDesktop`, для обеспечения скрытого захвата экрана и имитации ввода с клавиатуры и мыши. Кроме того, вредоносное ПО отслеживает нажатия клавиш, крадет файлы cookie Firefox, историю просмотров и разрешения, а также может перенаправлять браузеры жертв на URL-адреса, предоставленные оператором. Вредоносное ПО проверяет наличие более 20 процессов антивирусного ПО и EDR и сообщает оператору результаты обнаружения средств защиты безопасности во время рукопожатия.

Закрепление (Persistence) достигается за счёт записи в папке автозагрузки, в сочетании с самопереименованием и использованием конвенций именования на основе мьютексов. Бэкдор поддерживает постоянное TCP-соединение и многократно переподключается после прерываний. Его коммуникации включают баннер протокола `HVNC-` в открытом виде, данные о профилировании жертвы, такие как сведения о ЦП, памяти и архитектуре, а также строки протокола, включая `VERSION:1.2.0.4.71`. Сообщается, что инфраструктура C2 использует TCP-порт 27015 и была связана с хостингом VPS во Франкфурте, при этом связанные полезны нагрузки и темы приманок указывают на переиспользуемый фреймворк кампании. Приоритеты обнаружения включают скрытый PowerShell, запускаемый из LNK-файлов, неподписанные исполняемые файлы с тематикой обновлений, расположенные вне легитимных каталогов, подозрительные ярлыки в папке автозагрузки, активность на скрытом рабочем столе, а также строки протокола данной кампании.