Internetske prijevare i napadi vezani uz korona virus
Prošli tjedan smo pozvali na dodatan oprez zbog mogućnosti pojave phishing kampanja vezane uz COVID-19, ističu iz nacionalnog CERT-a. Trenutno je aktivna jedna kampanja ovog tipa, a napadač se predstavlja kao Svjetska zdravstvena organizacija (WHO). “From” polje se lažira ovisno o primatelju (npr. WHO@cert.hr). U privitku poruke elektroničke pošte nalazi se naizgled .img datoteka.
Analizom je utvrđeno da se preuzimanjem gore spomenute .img datoteke na računalo sprema arhivirana zlonamjerna .exe datoteka naziva “Chance.exe”. “Chance.exe” pokreće podproces “RegAsm.exe” koji je “loader” za trojanskog konja “Agent Tesla”. Radi se o poznatoj vrsti trojanskog konja koji preuzima podatke iz računala i šalje ih napadaču.
Pozivamo vas na dodatan oprez i molimo vas ako primijetite bilo kakve zlonamjerne aktivnosti vezane uz COVID-19, prijavite ih nadležnim službama, zaključuju iz CERT-a.
Naslov poruke elektroničke pošte: “An important COVID-19 update for our community”
“From” polje: WHO@domena na koju se šalje
Naziv privitka: COVID-19.img
Izvorišna IP adresa: 45.11.19.100
Naziv zlonamjerne datoteke: Chance.exe
MD5: F4AA04386FF031D3721EB55E78F5C1E8
Agent Tesla payload: https://drive.google.com/uc?export=download&id=1-FCvXMNR2qY-CCtVhU_c6RFko54dBscC
Filename: “admin kk DE_encrypted_28AD350.bin”
MD5: 670f8639b62a46b8cf2ec05fe9b98834
Adresa elektroničke pošte na koju se šalju podaci: admin1@aodeindustry.icu
SMTP poslužitelj na koji se spaja adresa elektroničke pošte: 77.83.117.234