Нов инструмент за зареждане на злонамерен софтуер, разпространяван чрез кампании за малпам

Изследователите по сигурността забелязаха нов вид злонамерен софтуер, който обикаля. Новата заплаха е наречена SquirrelWaffle и се разпространява чрез злонамерени спам кампании, използвайки подправени документи на Microsoft Office.

Изследователи от охранителната фирма Cisco Talos забелязаха новата заплаха още през септември 2021 г. SquirrelWaffle е зареждане - вид зловреден софтуер, който се използва като средство за доставка, изпускане и внедряване на друг зловреден софтуер в целевата система.

Кампанията срещу злонамерен спам е интересна, защото използва отвлечени имейл нишки, а след това имейлите, натоварени със злонамерен софтуер, се изпращат като отговори на тези теми, което им придава по-надежден вид. Изследователите на Cisco също така забелязаха прилики между настоящата кампания SquirrelWaffle и предишни кампании, използвани за разпространение на злонамерения софтуер Emotet. Екипът на Talos също изпрати предупреждение до бизнеса и корпорациите, позовавайки се на повишена опасност от заразяване на корпоративни мрежи.

Имейлите за примамка съдържат връзки към компресирани файлове, хоствани на уебсайтове, контролирани от хакерите. Въпреки че английският, използван в текста на имейла, е донякъде съмнителен, Cisco също забеляза известно ниво на приспособяване на съобщенията, за да съответстват на езика, използван преди в имейл нишката, което означава, че има известно ниво на приспособяване и социално инженерство.

Имейлите на SquirrelWaffle също се разпространяват на френски, немски и полски, което от своя страна означава, че кампанията не е насочена само към англоезичните демографски данни.

Cisco наблюдаваше пиковете и спадовете на активността при включване и изключване на кампанията SquirrelWaffle и заявиха, че новият зловреден софтуер не е толкова широко разпространен като Emotet, но бавно достига до там. Пикът на разпространението на малспам SquirrelWaffle настъпи в края на септември, с още три пика в активността, тъй като това нямаше същия голям обем.

Архивните файлове, използвани в имейла за фишинг, съдържат файлове на MS Office, които при отваряне доставят крайния полезен товар. Файловете са наименувани със смислени, правдоподобни имена като "диаграма", "графика" или "спецификация", за да се укрепи допълнително доверието на жертвата.