To nie ministerstwo, to trojan Dridex!

Od początku tygodnia trafiło do CERT Orange Polska trafiło kilka próbek maili, podszywających się pod informację z Ministerstwa Finansów. Z jednej strony akurat w tym przypadku wystarczy pobieżne przyjrzenie się dokumentowi, by wyłapać multum potknięć przestępców, trzeba jednak liczyć się z tym, że za kolejnym razem mogą okazać się znacznie bardziej dokładni.

Co jest nie tak?

• brak polskich znaków diakrytycznych
• rozpoczęcie „oficjalnej” korespondencji od „Cześć”
• użycie nazwy nieistniejącej w Polsce „Federalnej Służby Podatkowej”
• szereg błędów interpunkcyjnych i stylistycznych
• „hasło” podane w treści maila (to istotny punkt, o nim będzie jeszcze dalej)

No i oczywiście opisywane przez nas na każdym kroku stanowcze, wywołujące emocje „wezwanie do działania” (Call To Action, CTA) – swoją drogą ciekawa jest sugestia skierowania po 72 godzinach sprawy do… sadu (tak, „ogonki” mają znaczenie)

Dodatkowo plik, załączony do maila, ma w nazwie… faktura, co nijak nie ma związku z opisywaną w wiadomości „przykładową deklaracją”.

Co tak naprawdę przysyła nam „Ministerstwo Finansów”? Ano kolejną mutację groźnego bankowego trojana Dridex. Istniejące od niemal pięciu lat złośliwe oprogramowanie wykrada loginy i hasła do serwisów bankowych (a także giełd kryptowalut). Analizowana przez nas próbka zawiera ciekawą funkcję, utrudniającą przyjrzenie się załącznikowi przez automatyczne sandboxy (i tu wracamy do wspominanego wyżej hasła). Otóż zawarty w pliku downloader łączy się z serwerem Command and Control w celu dociągnięcia finalnego pliku _dopiero_ po wpisaniu wypisanego w mailu hasła.

IoC

Admini – blokujcie C&C pod adresem hxxp://tommyhalfigero.top. My już to zrobiliśmy, CyberTarcza nie pozwoli zrobić krzywdy użytkownikom usług Orange Polska. Jeśli macie wątpliwości, czy przypadkiem w coś nie kliknęliście – zajrzycie na https://cert.orange.pl/cybertarcza, a najlepiej dodajcie tę stronę do ulubionych.