Нові хвилі масових розсилок листів з #Smokeloader

13.12.2018, зафіксована масова розсилка листів з шкідливим вкладенням, який не детектується популярними в України антивірусними засобами. Вкладення з розширенням.lzh (архів), який містить в собі 2 файли, один з яких є підробленим, або раніше викраденим документом формату xlsx (для прикриття), а інший – JS-скрипт, який при активації – завантажує шкідливе програмне забезпечення #Smokeloader в директорію %Temp%  , яке використовується для завантаження інших шкідливих програмних забезпечень.

Звертаємо Вашу увагу, що текст повідомлення та назви файлів українською мовою, що незважаючи на поширення у всьому світі #Smokeloader, може свідчити про таргетованість атаки на Україну. Даний вірус являється завантажувачем і може бути використаний для завантаження будь-якого іншого шкідливого програмного забезпечення без Вашої згоди і відома.

Рекомендації:

• Не відкривайте прикріплені файли в листах, яких Ви не очікували отримати.
• Перевіряйте відправника повідомлення.
• Блокуйте WSH або трафік cscript/wscript.
• Фільтруйте нестандартні архіви та скриптові файли.
• Блокуйте на Proxy нетипові User Agent.
• Виконуйте основні правила кібергігієни .

Cхема:

email attach (lzh) > js > cmd.exe > powershell.exe > (new-object system.net.webclient).downloadfile > %Temp%ckZ89.ExE

Автор публікації

Офлайн 4 тижні

Ihor Romanets

0

Коментарі: 0Публікації: 203Реєстрація: 02-10-2017