⚡️ Новая волна кампании с ВПО Buhtrap через бухгалтерские сайты-приманки.

Злоумышленники не стали существенно менять используемую схему: ВПО распространяют при помощи сайтов-приманок, ориентированных на бухгалтеров и юристов, а продвигают такие сайты через рекламу в поиске. Подробнее — в этом посте. Новый сайт-приманка представляет собой копию легитимного ресурса «Главная книга бухгалтера».

Основные изменения затронули сетевую инфраструктуру.

Как развивается атака ⬇️

▪️ Когда жертва попадает на сайт-приманку через поисковую выдачу, JS-код перехватывает попытку скачать документ и вместо него формирует ссылку на ZIP-архив с вредоносной нагрузкой.

▪️ Имя архива строится на основе текущей даты и времени в формате YYYY_MM_DD_HH_MM_SS.zip.

▪️ После нажатия на кнопку скачивания документа происходит формирование ссылки на загрузку по шаблону: hxxps://files[.]buhotchet[.]com/uploads/yyyy-mm-dd-hh-mm-ss[.]zip.

Анализ ВПО доступен на MDP F6

⚙️ Все технические детали атаки описали на Habr.