Гильдма: Банковское вредоносное ПО, которое для распространения использует электронную почту, Facebook и YouTube

Ее исследователи ESET, согласно недавнему анализу банковские трояны затронув Латинскую Америку, приступил к ее анатомии Гильдма.

Σв частности, перешли к анатомии наиболее мощных и продвинутых банковский троян что они когда-либо встречали из этой группы в той области: Гильдма. Это вредоносное ПО специально нацелено на банковские учреждения, пытаясь украсть учетные данные для учетных записей электронной почты, интернет-магазинов и потоковых сервисов в Бразилии.

Он заразил как минимум в 10 раз больше жертв, чем другие латиноамериканские банковские троянцы, проанализированные ESET. В период бума - масштабной кампании в 2019 году - ESET регистрировала до 50.000 XNUMX атак в день. Guildma распространяется исключительно через нежелательные электронные письма с вредоносными вложениями.

В одном из последних выпусков Guildma использовала новый способ распределения серверов управления и контроля, злоупотребляя профилями на YouTube и Facebook. Однако его операторы почти сразу перестали использовать Facebook и, по крайней мере, на данном этапе, полностью полагаются на YouTube.

«Guildma использует очень новаторские методы выполнения и изощренные техники атак. Фактическая атака организована C&C сервером. Таким образом, его операторы могут более гибко реагировать на контрмеры, применяемые банками при атаке.Объясняет Роберт Шуман, исследователь ESET, возглавляющий аналитическую группу Guildma.

У Guildma есть несколько бэкдор-функций, таких как создание снимков экрана, запись нажатий клавиш, имитация функций мыши и клавиатуры, блокировка сочетаний клавиш (например, отключение Alt + F4, чтобы затруднить исчезновение фальшивых окон) и / или перезагрузка.

Кроме того, Guildma имеет модульную архитектуру, которая в настоящее время состоит как минимум из 10 модулей. Вредоносная программа использует инструменты, которые уже есть на машине, и повторно использует свои собственные методы. «Время от времени добавляются новые методы, но по большей части кажется, что разработчики повторно используют методы из старых версий.", - говорит Шуман.

В одном из первых изданий Гильдма в 2019 году была добавлена ​​возможность таргетинга на учреждения (в основном, банки) за пределами Бразилии. Однако за последние 14 месяцев ESET не обнаружил никаких международных кампаний за пределами страны. Фактически, злоумышленники зашли так далеко, что заблокировали загрузки с IP-адресов за пределами Бразилии.

Кампании Guildma медленно развивались до масштабной кампании в августе 2019 года, когда исследовательская группа ESET записывала до 50.000 10 образцов в день. Эта кампания продолжалась почти два месяца, что более чем в два раза превысило уровень обнаружения, наблюдавшийся XNUMX месяцами ранее.

источник