Специалисты Cisco Talos обнаружили, что с сентября 2023 года хакеры злоупотребляют сервисом Google Cloud Run для массового распространения банковских троянов Astaroth, Mekotio и Ousaban.

По словам исследователей, Google Cloud Run в последнее время стал привлекательным для киберпреступников за счет своей дешевизны, а также благодаря способности обходить стандартные защитные блоки и фильтры.

Обычно атаки начинаются с рассылки фишинговых писем, замаскированных под настоящие сообщения о счетах, финансовых отчетах или сообщения от местных органов власти и налоговых служб. Большинство писем в изученной специалистами кампании были написаны на испанском языке, поскольку атаки направлены на пользователей из стран Латинской Америки.

В письмах хакеров содержатся ссылки, перенаправляющие потенциальных жертв на вредоносные веб-сервисы, размещенные в Google Cloud Run. При этом в некоторых случаях полезная нагрузка доставляется напрямую через файлы MSI, а в других сервис выдает перенаправление 302 на Google Cloud Storage, где хранится ZIP-архив с MSI-файлом.

Если жертва запускает вредоносный MSI-файл, в систему загружаются и выполняются новые компоненты и полезные нагрузки (с помощью Windows-инструмента BITSAdmin). После этого малварь закрепляется в системе жертвы путем добавления в папку Startup LNK-файлов (sysupdates.setup<random_string>.lnk), настроенных на выполнение PowerShell-команды, которая запускает скрипт AutoIT.

В этой кампании используются сразу три банковских трояна: Astaroth (он же Guildma), Mekotio и Ousaban. Каждый из них предназначен для незаметного проникновения в систему и хищения конфиденциальных финансовых данных, которые потом могут использоваться для захвата чужих банковских аккаунтов.

Изначально целью Astaroth были только бразильские пользователи, но теперь банкер атакует более 300 финансовых учреждений в 15 странах Латинской Америки. Также отмечается, что недавно малварь научилась собирать учетные данные для криптовалютных сервисов. Используя кейлоггинг, захват экрана и мониторинг буфера обмена, Astaroth не только ворует конфиденциальные данные, но также способен перехватывать трафик и манипулировать им ради для получения банковских учетных данных.

Mekotio так же активен уже несколько лет и сосредоточен на латиноамериканском регионе. Троян похищает банковские реквизиты, личные данные и совершает мошеннические операции. Кроме того, он способен манипулировать браузерами жертв, перенаправляя их на фишинговые сайты.

Ousaban представляет собой еще один банковский троян, способный перехватывать нажатия клавиш, делать снимки экрана и выманивать банковские реквизиты жертв с помощью фальшивых банковских порталов. Исследователи пишут, что Ousaban поставляется на более позднем этапе цепочки заражения Astaroth, то есть операторы этих вредоносов могут сотрудничать, или же за этими банкерами стоят одни и те же люди.

Представители Google сообщают, что уже очистили Google Cloud Run от вредоносных ссылок и рассматривают возможность усиления защитных мер для предотвращения такой вредоносной активности в будущем.

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии