Qbot spreder sig gennem Windows Defender-phishing-e-mails

Qbot aka Quakbot startede som en banktrojan, men i dag installerer den også andre malware-trusler, og cyberkriminelle bruger den til at få adgang til netværk. En af Qbots vigtigste infektionsvektorer er som en anden fase nyttelast for Emotet, og den anden er phishing-e-mails. Cyberkriminelle er altid på udkig efter gode phishing-temaer, og for nylig har operatører af Qbot slået sig ned på Windows Defender.

Windows Defender er den indbyggede antimalwareløsning til Windows 10, og der er mange brugere, der ikke er fokuseret på sikkerhed, der kun stoler på den for beskyttelse. Som sådan er Windows Defender et solidt valg til phishing-agn. De nuværende Qbot-kampagner afviger ikke fra tidligere angreb.

Det potentielle offer modtager en e-mail, der i dette tilfælde får det til at se ud som om det er en alarm, der kommer fra Windows Defender. E-mailen indeholder en vedhæftet fil, som brugeren opfordres til at åbne. Vedhæftningen er en Excel. Xls- fil, der angiveligt indeholder advarslen. Den måde, Qbot inficerer et system gennem filen på, er ondsindede makroer. For at infektionen skal forekomme, skal det potentielle offer have aktiveret makroer. For at få brugeren til at gøre det hævder cyberkriminelle, at dokumentet er krypteret, og brugeren skal klikke på "Aktivér indhold", og det aktiverer faktisk makroer. Hvis det er aktiveret, udføres makroerne og downloader og installerer Qbot.

Eksempel på Qbot-phishing-e-mail

Når Qbot først har inficeret en enhed, kan den forårsage megen skade. En af de ting, Qbot gør, er at finde og stjæle de bankoplysninger, den kan finde. En anden funktion ved denne malware er at distribuere andre trusler. Qbot i sig selv er ofte anden fase nyttelast i Emotet infektioner. Oven i købet, hvis den inficerede enhed er på et netværk, kan Qbot give cyberkriminelle adgang til den computer og potentielt til hele netværket. I sådanne tilfælde vil operatørerne ofte forsøge at installere en slags ransomware. Qbot og i forlængelse af Emotet følges ofte af ProLock ransomware- angreb.

Sikkerhedsbevidste brugere falder sandsynligvis ikke for en phishing-ordning som denne, men der er mere end nok afslappede brugere, der vil. Med Emotets nylige genopblussen vil antallet af Qbot-infektioner sandsynligvis vokse yderligere. Mens store organisationer sørger for mere ønskelige ofre, mister individuelle brugere også meget.