Вредоносная программа Vega Stealer отправляется за сохраненными учетными данными

Есть новая угроза безопасности, о которой нужно беспокоиться, и специалисты по безопасности предупреждают, что это действительно может быть очень плохо. Новое вредоносное ПО, известное как «Vega Stealer», в настоящее время используется в относительно упрощенной фишинг-кампании, предназначенной для сбора финансовых данных, сохраненных в браузерах Google Chrome и Firefox. К сожалению, основываясь на анализе кода, это может быть гораздо более серьезной угрозой.

Vega Stealer не на 100 процентов оригинальная работа, а скорее вариант еще одного неприятного вредоносного ПО, известного как «August Stealer». Созданный на основе .NET, он предназначен для поиска и кражи криптовалютных кошельков, паролей, файлов cookie, сохраненных кредитных карт и многого другого.

Если ваш компьютер заражен, и вы используете Firefox, Vega Stealer будет специально нацеливаться на файлы «key3.db» и «key4.db», а также «cookies.sqlite» и «logins.json», в которых хранятся различные файлы. ключей и паролей.

В дополнение к этому, он также может делать снимки экрана вашего компьютера, сканировать и красть любой файл со следующими расширениями:

• .pdf
• .xlsx
• .xrft
• .docx
• .doc

Конечно, владельцам вредоносного ПО было бы тривиально расширить этот список еще больше.

Как уже упоминалось, текущая кампания не очень сложна, полагаясь на электронные письма с заголовками, такими как «Требуется разработчик интернет-магазина». Отправляемые электронные письма содержат зараженный файл с именем "rief.doc ", в котором содержатся макросы, предназначенные для установки вредоносного ПО.

Если получатель нажимает на слово doc, он установит файл с именем «ljoyoxu.pkzip» в каталог «Music» этого пользователя, а затем автоматически выполнит файл, чтобы начать сбор.

Исследователи из Proofpoint, обнаружившие штамм вредоносного ПО, сказали следующее:

«Макрос документа, используемый в этой кампании, является товарным макросом, который, по нашему мнению, предназначен для продажи и используется несколькими субъектами, в том числе субъектом угрозы, распространяющим банковский троян Emotet. Однако шаблон URL, из которого макрос извлекает полезную нагрузку, совпадает с Мы используем отслеживаемый актер, который распространяет банковский троянец Ursnif, который часто загружает вторичные полезные данные, такие как Nymaim, Gootkit или IcedID. В результате мы приписываем эту кампанию тому же субъекту со средней достоверностью ».

Будь настороже.

Используется с разрешения Агрегатора статей

Похожие