ESET Research: phishing-campagnes tegen bedrijven in Italië, Polen en Roemenië met gebruik van infostealers
ESET Research onderzocht in mei 2024 negen wijdverbreide phishing-campagnes gericht op KMO’s in Polen, Roemenië en Italië, waarbij verschillende malwarefamilies werden verspreid. Vergeleken bij vorig jaar zijn de aanvallers die zich op de regio richtten overgestapt van AceCryptor naar ModiLoader als hun voorkeurstool en gebruikten ze ook meer malware. Ze gebruikten eerder gecompromitteerde e-mailaccounts en servers, niet alleen om kwaadaardige e-mails te verspreiden, maar ook om malware te hosten en gestolen gegevens te verzamelen. Enkel al in mei 2024 beschermden ESET-producten meer dan 26.000 gebruikers – ruim 21.000 (80%) in Polen – tegen deze bedreiging.
“In totaal hebben we negen phishing-campagnes geregistreerd, waarvan er zeven in mei op Polen gericht waren”, zegt Jakub Kaloč, die de phishing-campagnes analyseerde. “De uiteindelijke lading die op de gecompromitteerde machines afgeleverd en gelanceerd moest worden, varieerde; we hebben campagnes gedetecteerd die met Formbook informatie gingen stelen; de trojan voor externe toegang en informatiedief Agent Tesla; en Rescoms RAT, software voor afstandsbediening en bewaking die gevoelige informatie kan stelen”, voegt hij eraan toe.
In het algemeen volgden alle campagnes een gelijkaardige scenario. Het beoogde bedrijf ontving een e-mailbericht met een zakelijk aanbod. Net als bij de phishing-campagnes van de tweede helft van 2023 deden aanvallers zich voor als echte bedrijven en hun werknemers als specialisten om het succes van de campagnes te vergroten. Zelfs als het slachtoffer op zoek was naar de gebruikelijke waarschuwingssignalen, waren deze er niet en zag de e-mail er zo legitiem uit als het maar kon.
De e-mails van alle campagnes bevatten een kwaadaardige bijlage die het slachtoffer moest openen volgens de tekst van de e-mail. Het ging om een ISO-bestand of archief met het uitvoerbare bestand ModiLoader. ModiLoader is een Delphi-downloader met een eenvoudige taak: malware downloaden en opstarten. In twee van de campagnes werden ModiLoader-samples geconfigureerd om de volgende fase-malware te downloaden van een gecompromitteerde server van een Hongaars bedrijf. In de rest van de campagnes downloadde ModiLoader de volgende fase uit de OneDrive-cloudopslag van Microsoft.
Voor meer informatie over de ModiLoader-campagnes leest u de blog “Phishing gericht op Poolse KMO’s gaat door via ModiLoader” op https://www.welivesecurity.com/en/. Zorg ervoor dat u ESET Research volgt op Twitter voor de nieuwste info over ESET Research.
Dit artikel is geschreven door een van onze partners en valt buiten de verantwoordelijkheid van de redactie.
