Nova forma de distribuir ransomware surge no underground russo

Pesquisadores descobriram que uma ferramenta recém-lançada está sendo usada para propagar malware das famílias Locky, Zepto e Pony através do download de scripts codificados em e-mails maliciosos

Compartilhar:

Há alguns dias, pesquisadores da Forcepoint descobriram um novo downloader intermediário, o “Quant Loader”, que está sendo usado para distribuir malware das famílias do cripto-ransomware Locky Zepto e Pony (aka Fareit). Este novo downloader utiliza um Trojan downloader existente, lançado há apenas duas semanas, que está atualmente sendo divulgado em fóruns russos do underground.

 

Mascarados como notificações de faturas, os emails carregam Windows Script File (WSF) maliciosos anexados. Quando executado, o arquivo faz o download de um script codificado que é então decodificado e executado.

 

forcepoint1
(Divulgação)

 

 

Carl Leonard, principal analista de segurança da Forcepoint, disse: “À primeira vista, o payload era desconhecido e acrescentava uma etapa adicional à cadeia de infecção. Através da análise, identificamos este downloader intermediário como o ‘Quant Loader’ e o rastreamos de volta ao autor conhecido como “MrRaix”, aka “DamRaiX”, um membro da equipe russa de hackers conhecida como “C++ GURU”, aka “CPPGURU”.

 

Uma cuidadosa investigação mostrou que o código base é muito semelhante a outras ferramentas que a equipe criou – sistemas para roubar credenciais, roubar carteiras BitCoin e um sistema DDoS chamado Madness DDoS System. Na realidade, parece que o Quant Loader é um Trojan downloader muito básico e não o “carregador .exe profissional/ dll isca” que está sendo anunciado”.

 

forcepoint2
(Divulgação)

 

A Forcepoint acredita que esta campanha seja apenas um período de testes para medir a efetividade do novo downloader intermediário, assim espera que o malware seja aprimorado no futuro e recomenda vigilância dos usuários.

 

Conteúdos Relacionados

Security Report | Destaques

Centauro alerta para instabilidade no site, mas não confirma possível data leak

A companhia de equipamentos esportivos precisou derrubar o portal oficial de vendas e o aplicativo mobile após identificar erro estrutural...
Security Report | Destaques

Polícia Civil prende envolvido em ciberataque à C&M Softwares

Investigação conduzida em São Paulo aponta aliciamento interno no caso, com suspeito admitindo ter exposto credenciais e contribuído para construção...
Security Report | Destaques

Ciberataque à C&M: Bacen reestabelece acesso da provedora aos sistemas de pagamento

Em comunicado divulgado hoje (03), a autoridade monetária nacional informa que a suspensão cautelar da conexão da C&M ao Sistema...
Security Report | Destaques

Ciberataque a provedor de TI gera prejuízo de R$ 500 milhões em serviços financeiros

A C&M Software, que atua como parceira terceirizada na administração de troca de informações entre as instituições do Sistema de...