To miał być kupon do McDonald's! Reklama serwowała trojana zamiast zniżki

Mowa o trojanach z rodziny Mispadu, opisanych przez specjalistów z ESET. Trojany zostały zaobserwowane w akcji i możemy być pewni, że są wykorzystywane w prawdziwych atakach.

Do infekcji trojanem Mispadu może dojść na dwa sposoby. To kolejne zagrożenie, które wykorzystuje e-mail, by przekonać użytkownika do otwarcia fałszywego dokumentu. Może to być e-mail z fałszywą fakturą DHL albo wyglądający na ważną informację – tu wszystko zależy od kreatywności atakujących.

Dużo ciekawszy jest drugi sposób. Mispadu wykorzystuje fałszywe reklamy. Cyberprzestępcy wykupili reklamy na Facebooku i przygotowali kampanię do złudzenia przypominającą zniżki w restauracjach McDonald's. Przykład opisany przez ESET pochodzi z kampanii prowadzonej w Brazylii i Meksyku.

Bannery reklamowe mają przekonać internautów do przejścia na stronę udającą prawdziwe promocje na kanapki i desery w restauracjach w Brazylii i Meksyku. Tam trzeba było podać adres e-mail, by dostać kupon.

Zamiast kuponu ofiara otrzymywała e-mail z linkiem do archiwum ZIP. W środku był oczywiście instalator szkodliwego programu. Jeśli uruchomiła go, skuszona obietnicą darmowych frytek, na komputer ściągany był trojan.

Szkodliwy program może podsłuchiwać, co jest wpisywane na klawiaturze, symulować kliknięcia myszy i robić zrzuty ekranu na zainfekowanym komputerze. Program monitoruje też schowek, gdzie może podmieniać adresy portfeli kryptowalut. Analogicznie trojan podmieniał numery biletów Boleto – to numery transakcji, potrzebne do wpłat z użyciem systemu Boleto, popularnego w Brazylii.

Na niektórych z zainfekowanych komputerów w przeglądarce Google Chrome pojawiło się szkodliwe rozszerzenie o nazwie Security System 1.0, które obiecuje „chronić przeglądarkę”. Rozszerzenie wyświetla fałszywe wyskakujące okienka, podszywające się pod prawdziwe usługi, także finansowe. W ten sposób cyberprzestępcy starają się przekonać internautów, by podawali swoje dane. Cyberprzestępcy gromadzą w ten sposób dane logowania do bankowości internetowej i numery kart kredytowych.

Opisany trojan sprawdza także język systemu. W tym przypadku mamy do czynienia z kampanią działającą tylko w dwóch krajach i wymierzoną w lokalne usługi. Według danych ESET, w fałszywe reklamy kliknęło 100 tys. osób w ciągu zaledwie kilku dni aktywności.

Warto mieć się na baczności – analogiczne zagrożenie w każdej chwili może pojawić się w naszym regionie.

Trojan z rodziny Mispadu został napisany w języku Delphii. Instalator zawiera skrypt VBS unpacker, który rozpakowuje i uruchamia skrypt downloader. Dopiero na tym etapie ściągany jest trzeci skrypt loader, instalujący właściwego trojana. Na tym etapie sprawdzany jest język systemu i działanie wewnątrz maszyny wirtualnej – jeśli któryś z warunków nie jest spełniony, atak jest kończony.

Jeśli skrypt trafił na komputer w Brazylii lub Meksyku, ściąga właściwy trojan, bibliotekę DLL, która go wstrzyknie i biblioteki dodatkowe (nieszkodliwe). Każdy element jest pobierany w osobnym archiwum ZIP i zaszyfrowany. Mispadu będzie uruchamiany razem z systemem i może się sam aktualizować, korzystając ze skryptów.

Podobnie jak trojany z rodziny Amavaldo i Casbaneiro, Mispadu wykorzystuje unikatowy algorytm szyfrujący ciągu znaków w kodzie. W ten sposób ukrywane są fragmenty plików konfiguracyjnych i komunikacja z serwerem C&C. Do dystrybucji e-maili z linkami do trojana cyberprzestępcy wykorzystali rosyjską usługę Yandex.Mail, łamiąc jej regulamin.

W zasobach trojana znajdują się ponadto cztery programy firmy NirSoft – dobrze znane każdemu, kto kiedyś zgubił hasło do WiFi czy poczty. Programy są zmodyfikowane, by działały bez interfejsu graficznego, dzięki czemu ofiara nie wie, że są uruchamiane. Narzędzia te mają na celu wydobycie haseł z przeglądarek i klientów poczty.