Шкідлива програма TimbreStealer

З листопада 2023 року особи в Мексиці були об’єктами податкових фішингових схем, спрямованих на розповсюдження нещодавно ідентифікованого шкідливого програмного забезпечення Windows під назвою TimbreStealer. Дослідники, які розкрили цю кампанію, охарактеризували зловмисників як досвідчених, зазначивши, що ці загрозливі особи застосували аналогічні тактики, методи та процедури (TTP) у вересні 2023 року для розгортання банківського трояна під назвою Mispadu .

Кіберзлочинці націлюються на користувачів у Мексиці за допомогою TimbreStealer

На додаток до використання передових методів обфускації, щоб уникнути виявлення та підтримувати стійкість, фішингова кампанія включає геозонування для націлювання на користувачів у Мексиці. Коли доступ до корисних сайтів здійснюється з місць за межами Мексики, кампанія повертає, здавалося б, нешкідливий порожній PDF-файл замість шкідливого.

Використана тактика ухилення заслуговує на увагу, включаючи використання спеціальних завантажувачів і прямі системні виклики для обходу звичайного моніторингу API. Крім того, у кампанії використовується Heaven's Gate для виконання 64-бітного коду в 32-бітному процесі, техніка, нещодавно також використана HijackLoader .

TimbreStealer оснащено різноманітним набором загрозливих можливостей

Зловмисне програмне забезпечення оснащене різними вбудованими модулями, призначеними для оркестровки, дешифрування та захисту основного двійкового файлу. Одночасно він проводить кілька перевірок, щоб переконатися, що він працює в середовищі пісочниці, чи мова системи не є російською, і чи належить часовий пояс до регіону Латинської Америки.

Модуль orchestrator проводить додаткові перевірки шляхом пошуку файлів і ключів реєстру, щоб підтвердити, що машина раніше не була заражена. Після цього він ініціює компонент програми встановлення корисного навантаження, надаючи користувачеві безпечний файл-приманку. Однак за кадром ця дія запускає виконання основного корисного навантаження TimbreStealer.

Основне корисне навантаження створено для збору широкого діапазону даних, включаючи облікові дані з різних папок, системні метадані та доступні URL-адреси. Він активно шукає файли з певними розширеннями та перевіряє наявність програмного забезпечення для віддаленого робочого столу.

Зловмисне програмне забезпечення Infostealer може призвести до значних наслідків для жертв

Зловмисне програмне забезпечення Infostealer становить серйозну загрозу для жертв, оскільки воно спеціально розроблене для прихованого проникнення в системи та вилучення конфіденційної інформації, що призводить до значних наслідків. Ось кілька способів шкідливого впливу шкідливого програмного забезпечення Infostealer:

• Крадіжка даних : основна мета зловмисного програмного забезпечення Infostealer – збирати конфіденційну інформацію, таку як облікові дані для входу, особисті дані, фінансові відомості та інтелектуальну власність. Якщо ця інформація скомпрометована, вона може бути використана для різних зловмисних дій, включаючи крадіжку особистих даних, фінансове шахрайство або несанкціонований доступ до облікових записів.

• Фінансові втрати : зловмисне програмне забезпечення Infostealer часто націлюється на фінансову інформацію, що може призвести до прямих фінансових втрат для окремих осіб і організацій. Кіберзлочинці можуть використовувати зібрані банківські облікові дані для ініціювання неліцензійних транзакцій або отримання доступу до фінансових рахунків.

• Вторгнення в конфіденційність : крадіжка особистої та конфіденційної інформації за допомогою зловмисного програмного забезпечення Infostealer може призвести до серйозного вторгнення в конфіденційність. Жертви можуть зазнати порушення довіри та зіткнутися з труднощами у відновленні своєї онлайн-ідентичності.

• Порушення бізнесу : у випадку організацій зловмисне програмне забезпечення Infostealer може призвести до зриву бізнесу. Втрата конфіденційних бізнес-даних або комерційних секретів може зашкодити конкурентоспроможності компанії, а несанкціонований доступ до критично важливих систем може призвести до простою в роботі.

• Пошкодження репутації : розголошення конфіденційної інформації, особливо якщо вона стосується даних клієнтів або співробітників, може завдати серйозної шкоди репутації особи чи організації. Довіра та довіра можуть бути підірвані, і може знадобитися багато часу та зусиль, щоб відновити впевненість.

• Розширений компроміс : зловмисне програмне забезпечення Infostealer часто є частиною ширшої кібератаки. Після початкового порушення зловмисники можуть інсталювати додаткові шкідливі інструменти, встановити постійний доступ і продовжувати використовувати скомпрометовану систему протягом тривалого періоду часу.

Таким чином, зловмисне програмне забезпечення infostealer може призвести до низки негативних наслідків, починаючи від фінансових втрат і порушення конфіденційності до шкоди репутації та правових наслідків. Окремі особи та організації повинні застосовувати надійні заходи кібербезпеки, щоб запобігати, розкривати та зменшувати ризики, пов’язані з загрозами Infostealer.