FortiGuard Labs firmy Fortinet, zespół badawczy zajmujący się cyberbezpieczeństwem, zidentyfikował szeroko zakrojoną kampanię phishingową rozprzestrzeniającą UpCrypter. Ten podstępny loader malware służy do instalowania trojanów zdalnego dostępu (RAT), takich jak PureHVNC, DCRat (DarkCrystal) i Babylon RAT.
🔍 Jak działa atak:
- E-maile phishingowe naśladują powiadomienia o wiadomościach głosowych i zamówienia zakupu.
- Linki prowadzą do przekonujących stron docelowych, na których osadzono logo firmy ofiary.
- Ofiary są proszone o pobranie pliku ZIP zawierającego zaciemniony dropper w JavaScript.
- Loader sprawdza obecność debuggerów i sandboxów oraz wykorzystuje steganografię do pobierania ładunków ukrytych w obrazach.
- Końcowe ładunki obejmują skrypty PowerShell, biblioteki DLL i trojany RAT, które działają bezplikowo, zostawiając minimalne ślady dla analizy śledczej.
📌 Dlaczego to ważne
- Kampania trwa od sierpnia 2025 r. i uderza w sektory produkcji, technologii, ochrony zdrowia, budownictwa oraz handlu detalicznego i hotelarstwa.
- Największe skupiska infekcji odnotowano w Austrii, Białorusi, Kanadzie, Egipcie, Indiach i Pakistanie.
- Pokazuje technikę living-off-trusted-sites (LOTS), czyli nadużywanie Google Classroom, OneNote, Microsoft 365 Direct Send, Zoom i innych w celu obejścia zabezpieczeń poczty e-mail.
🛡 Działania obronne:
- Edukuj pracowników na temat e-maili phishingowych z przynętą w postaci wiadomości głosowych lub faktur.
- Blokuj pobieranie plików JavaScript przesyłanych pocztą e-mail.
- Monitoruj podejrzane połączenia wychodzące i ładunki steganograficzne.
- Zastosuj opcję „Reject Direct Send” od Microsoftu lub własne reguły filtrowania poczty.
➡️ Ta kampania pokazuje, jak cyberprzestępcy łączą zaufane platformy, zaciemnianie kodu i zaawansowane techniki unikania wykrycia, aby wyprzedzać zabezpieczenia.
W Alcaeus Services pomagamy organizacjom budować warstwową obronę, wcześnie wykrywać phishing i zabezpieczać punkty końcowe przed ewoluującymi atakami wykorzystującymi loadery.
