Nieuwe Malware Loader gedistribueerd via Malspam-campagnes
Beveiligingsonderzoekers zagen een nieuwe soort malware de ronde doen. De nieuwe dreiging heet SquirrelWaffle en wordt verspreid via kwaadaardige spamcampagnes, met behulp van vervalste Microsoft Office-documenten.
Onderzoekers van beveiligingsbedrijf Cisco Talos ontdekten de nieuwe dreiging in september 2021. SquirrelWaffle is een loader - een type malware dat wordt gebruikt als een soort leveringsvoertuig, waarbij andere kwaadaardige software op het doelsysteem wordt gedropt en ingezet.
De malspam-campagne is interessant omdat het gekaapte e-mailthreads gebruikt, en vervolgens worden de met malware beladen e-mails verzonden als antwoorden op die threads, waardoor ze een geloofwaardiger uiterlijk krijgen. Cisco-onderzoekers zagen ook overeenkomsten tussen de huidige SquirrelWaffle-campagne en eerdere campagnes die werden gebruikt om de Emotet-malware te verspreiden. Het Talos-team zond ook een waarschuwing aan bedrijven en bedrijven, waarbij ze een verhoogd risico op infectie van bedrijfsnetwerken aanhaalden.
De lokaas-e-mails bevatten links naar gecomprimeerde bestanden die worden gehost op websites die worden beheerd door de hackers. Hoewel het Engels dat in de e-mailtekst wordt gebruikt enigszins twijfelachtig is, merkte Cisco ook een zekere mate van afstemming van de berichten op om overeen te komen met de taal die eerder in de e-mailthread werd gebruikt, wat betekent dat er enige mate van afstemming en social engineering bij betrokken is.
De e-mails van SquirrelWaffle worden ook verspreid in het Frans, Duits en Pools, wat op zijn beurt betekent dat de campagne niet alleen gericht is op Engelstalige demografie.
Cisco heeft de pieken en dalen van activiteiten van de SquirrelWaffle-campagne in de gaten gehouden en heeft verklaard dat de nieuwe malware niet zo wijdverspreid is als Emotet, maar dat het er langzaamaan begint te komen. De piek van malspam die SquirrelWaffle verspreidde, vond eind september plaats, met nog drie pieken in activiteit omdat die niet hetzelfde grote volume had.
De archiefbestanden die in de phishing-e-mail worden gebruikt, bevatten MS Office-bestanden die, wanneer ze worden geopend, de uiteindelijke lading opleveren. De bestanden worden benoemd met betekenisvolle, geloofwaardige namen zoals "diagram", "grafiek" of "specificatie" om het vertrouwen van het slachtoffer verder te vergroten.