Исследователи из IBM X-Force сообщают, что банковский троян Zeus Sphinx (он же Zloader и Terdot) снова активен после нескольких лет бездействия и теперь эксплуатирует пандемию коронавируса в своих интересах.
Эксперты напоминают, что Zeus Sphinx впервые был обнаружен в августе 2015 года. Тогда малварь поступила в продажу в виде коммерческого модульного банкера, основанного на исходниках Zeus. Тогда вредонос был ориентирован на атаки на финансовые учреждения в Великобритании, Австралии, Бразилии и США. Теперь, когда Zeus Sphinx появился снова, он нацелен на те же страны.
Zeus Sphinx распространяется через фишинговые кампании, во вредоносных файлах с названием «COVID 19 relief». В своих спамерских письмах злоумышленники утверждают, что пользователи имеют право на получение правительственной помощи. Для получения средств якобы необходимо заполнить специальную форму, которая прилагается к посланию в формате .DOC или .DOCX. При загрузке и открытии такой документ информирует жертву о необходимости включить макросы, которые, в свою очередь, подключаются к управляющему серверу и запускают пейлоад Zeus Sphinx.
В зараженной системе Zeus Sphinx закрепляется, динамически записывая себя в многочисленные файлы и папки, а также создавая ключи реестра. Также малварь пытается избежать обнаружения с помощью самозаверенного сертификата.
Так как основной «профиль» Zeus Sphinx, это веб-инжекты, малварь будет вмешиваться в работу процессов explorer.exe и браузера, и следит, когда пользователь заходит на целевую страницу (к примеру, платформу онлайн-банкинга). Затем вредонос модифицирует эти страницы, и в итоге учетные данные пользователя отправляются на удаленный сервер злоумышленников.
Нужно сказать, что Zeus Sphinx – лишь один из многих вредоносов, которые сейчас эксплуатируют тему COVID-19. Так, вредоносные домены, посвященные коронавирусу уже исчисляются десятками тысяч, и даже взломанные роутеры пугают своих владельцев именно срочной информацией о пандемии.
