Formbook zararli dasturi Word ilovalari orqali tarqatiladi.

Formbook zararli dasturi Word ilovalari orqali tarqatiladi.

Yangi hujumlar to’lqini asosan Yaqin Sharq va Qo’shma Shtatlardagi moliyaviy va axborot xizmatlari sohalariga qaratilgan.

Menlo Security xavfsizlik tadqiqotchilari Threatpost ma’lumotlariga ko’ra, Microsoft Word hujjatlaridagi zararli ilova orqali tarqatiladigan FormBook parolini o’g’irlaydigan zararli dasturdan foydalangan holda yangi zararli dastur kampaniyasini aniqladilar.

Tadqiqotchilarning fikriga ko’ra, hujumlarning yangi to’lqini asosan Yaqin Sharq va Qo’shma Shtatlardagi moliyaviy va axborot xizmatlari sohalariga qaratilgan. Ushbu kampaniyaning o’ziga xos xususiyati shundaki, zararli dasturni faollashtirish uchun makro talab qilinmaydi. Bundan tashqari, dastur o’zining zararli tarkibini yashirish orqali sinov muhitlari va antivirus dasturlari kabi xavfsizlik yechimlaridan qochishi mumkin. Shuningdek, asosiy zararli hujjatda faol kodning yo’qligi ham diqqatga sazovordir, chunki bu hujum masofadan turib zararli yuklamani yuklab olishga asoslangan.

Hujumchilar yangi ko’p bosqichli infeksiya usulidan foydalanmoqdalar. Hujumning birinchi bosqichi Framesets (hujjatlarni yuklash uchun mas’ul bo’lgan HTML teglari) yordamida biriktirilgan .docx fayli bilan fishing elektron pochta xabarlarini yuborishdir. Jabrlanuvchi zararli hujjatni ochganda, Microsoft Word yashirin URL bilan ko’rsatilgan obyektni yuklab olish uchun HTTP so’rovini yuboradi va uni hujjatda ko’rsatadi.

Tahrirlash rejimida (standart himoyalangan rejim o’rniga) ko’rilganda, o’rnatilgan yorliq hujjatning webSettings.xml.rels faylida belgilangan qisqartirilgan URL manziliga ishora qiladi. URL manzili zararli RTF fayli yuklab olinadigan Fransiya va Qo’shma Shtatlarda joylashgan C&C serverlariga ishora qiladi.

«O’rnatilgan ob’ektga ega RTF hujjati ochilganda, ob’ekt avtomatik ravishda Windows tizimidagi %TEMP% jildiga ko’chiriladi. Shunga o’xshash usul Cobalt xakerlar guruhi a’zolari tomonidan ham qo’llanilgan», deb ta’kidladi ekspertlar.

Tadqiqotchilar yangi hujumlarda tajovuzkorlar Microsoft Office’da kodni masofadan turib bajarish imkonini beruvchi CVE-2017-8570 zaifligidan foydalanayotganini aniqladilar.

Tadqiqotchilar yangi hujumlarda tajovuzkorlar Microsoft Office’da kodni masofadan turib bajarish imkonini beruvchi CVE-2017-8570 zaifligidan foydalanayotganini aniqladilar.

Zararli bajariladigan fayl keyin hujumchilarning C&C serverlari bilan bog’lanadi va FormBook zararli dasturini maqsadli tizimga yuklab oladi.

FormBook – вредоносная программа с возможностью регистрации нажатия клавиш, кражи содержимого буфера обмена и извлечения данных из сеансов HTTP. Она также может выполнять команды, поступающие с C&C-серверов. Вредоносное ПО можно настроить на загрузку и выполнение файлов, запуск процессов, завершение работы и перезагрузку системы, а также хищение файлов cookie и локальных паролей.