«Амавальдо» – новый банковский рассвет в Латинской Америке

Исследовательская лаборатория ESET контролировала деятельность нескольких семей банковских троянцев, которые пытаются убедить своих жертв получить финансовую информацию.

Исследователи из ESET, ведущей компании по активному обнаружению угроз, представляют расследование, в ходе которого они выявляют новых банковских троянов, специально предназначенных для Латинской Америки. Анализируя банковские трояны, ESET выявил более десяти новых семейств вредоносных программ, предназначенных для испаноязычных или португалоязычных стран.

Банковские трояны, нацеленные на Латинскую Америку, используют социальную инженерию, нацеленную на попытки обмануть пользователей в регионе. Они предназначены для постоянного обнаружения активных окон на компьютере жертвы, и если они находят одно, связанное с банком, они запускают атаку.

Эти атаки обычно направлены на то, чтобы убедить жертву принять срочные или необходимые меры. Обновление банковского приложения, используемого потерпевшим, может быть связано либо с проверкой информации как кредитной карты, так и учетных данных доступа к банковскому счету. Таким образом, ложное всплывающее окно используется для кражи этих данных, когда жертва вводит их, или также используется виртуальная клавиатура, которая действует как клавиатурный шпион. Затем конфиденциальная информация отправляется злоумышленнику, который будет использовать эту информацию так, как он считает наиболее удобным.

Ложное всплывающее окно одного из банков, используемых злоумышленником, который пытается украсть код авторизации.

Виртуальная клавиатура с кейлоггером претендует на звание банка в Бразилии. В описании изображения показано, как жертве предлагается ввести пароль с помощью кнопок.

В недавно обнаруженных семействах вредоносных программ Amavododo характеризуется использованием специальной схемы шифрования, используемой для запутывания цепей. После установки вредоносного кода вы можете получать команды для выполнения различных действий на компьютере жертвы: • захватывать фотографии жертвы с помощью веб-камеры; • записывать текст, вводимый с клавиатуры; • загружать и запускать другие программы; • Ограничить доступ к нескольким банковским сайтам. • Симуляция клавиатуры и мыши. • Автоматическое обновление. Кроме того, Amavaldo использует сложную технику атаки: как только он обнаруживает окно, связанное с банком, он делает снимок экрана рабочего стола и делает его похожим на новый. обои. Затем он отображает ложное всплывающее окно, которое выбирается на основе текста активного окна, в то же время отключая несколько сочетаний клавиш и предотвращая взаимодействие жертвы с какими-либо дополнительными приложениями, кроме всплывающего окна. Из лаборатории ESET считается, что вредоносные файлы, используемые для заражения устройства жертвы, распространяются посредством нежелательной почтовой кампании, причем файлы замаскированы как легитимные файлы PDF.

«Самый простой способ распространения этих банковских троянов – использование загрузчика (исполняемый файл Windows) который притворяется установщиком легального программного обеспечения. Этот метод использует многоступенчатую цепочку, использующую несколько уровней загрузчиков, таких как JavaScript, PowerShell или Visual Basic Script (VBS). Окончательная полезная нагрузка обычно доставляется через zip-файл, содержащий банковский троян », – говорит Камило Гутьеррес, руководитель исследовательской лаборатории ESET в Латинской Америке.