Romantizm Dolandırıcılığı, ‘Sevimli Fotoğraflar’ Dosyasında Gizlenmiş Zararlı Yazılımı Teslim Ediyor

Yeni bir siber saldırı, yetişkin temalı aşk dolandırıcılıkları ile Almanca konuşanları hedef alıyor ve gizlice zararlı yazılım gönderiyor.

Sublime Securityye göre, saldırganlar romantik bir e-posta ile kurbanları cezbetmek için iki yanıltıcı link kullanıyorlar.

İlk link, bir video önizleme görüntüsü gibi görünüyor, ancak ikinci link, gizlenmiş bir arşiv dosyasına yönlendiriyor. Tıklanırsa, sistem kullanıcının Almanya’da olup olmadığını kontrol eder. Eğer öyleyse, Rus bir sunucudan 300MB’lık bir ISO dosyası indirir.

Araştırmacılar, saldırganların bu kötü amaçlı kampanya aracılığıyla kullanıcıları iş saatleri boyunca hedef almak için Keitaro TDS adlı ticari bir trafik dağıtım sistemini kullandığını açıklıyorlar.

“Keitaro, bilgisayarın birçok özelliğini görebilir, istekte bulunabilir ve bağlantı yolları sağlayabilir,” diye açıkladı Sublime. Bu hedefe yönelik hassasiyet, başarı şansını artırır.

Bir kez indirildiğinde, ISO dosyası boyutunu şişirerek algılanmayı kaçınır. Montaj edildiğinde, ‘lovely_photos.exe’ adında bir dosya ve bir şifre içeren bir metin dosyasını ortaya çıkarır. Dosyayı çalıştırmak kullanıcıdan bu şifreyi ister, bu da açıkça görülebilen görüntülerin ve çok sayıda zararlı dosyanın çıkarılmasını tetikler.

Yazılım kötüye kullanma, antivirüs yazılımlarını atlatmak için tasarlanmış yoğun şekilde gizlenmiş bir scripti çalıştırmak için bir AutoIt yorumlayıcısı oluşturur. “Son AutoIt scripti aşırı derecede karmaşıklaştırılmıştır […] 11.500’den fazla kod satırı,” diye belirtti Sublime. Script, kullanıcı her oturum açtığında kötü niyetli yazılımın çalışmasını sağlamak için DragonMapper adlı bir zamanlanmış Windows görevi olarak kendini yükler.

Bu kampanya, sosyal mühendislik saldırılarının artan karmaşıklığını ve tehdit unsurlarının artık yetişkin dolandırıcılıklarıyla anti-analiz tekniklerini ve AutoIt ve Keitaro TDS gibi meşru araçları birleştirerek tespit edilemez kalmayı nasıl başardığını vurgulamaktadır.