Eset обнаружил банковский троян, использующий Youtube для кражи криптовалюты
Eset обнаружил банковский троян, использующий Youtube для кражи криптовалюты
Eset изучила новое семейство банковских троянов Casbaneiro. Вредоносная программа охотилась за криптовалютой бразильских и мексиканских пользователей.
Во время исследования эксперты Eset обнаружили, что Casbaneiro имеет схожую с другим семейством банковских троянов – Amavaldo – функциональность. Вредоносные программы применяют один и тот же криптографический алгоритм и распространяют похожую зловредную утилиту для почты.
Как и Amavaldo, троян Casbaneiro использует всплывающие окна и формы для обмана жертв. Такие методы социальной инженерии направлены на первичные эмоции — человека срочно, без раздумий заставляют принять решение. Поводом может быть обновление ПО, верификация кредитной карты или запрос из банка.
После заражения Casbaneiro ограничивает доступ к различным банковским сайтам, а также следит за нажатием клавиш и делает снимки экрана. Кроме того, троян отслеживает буфер обмена — если вредонос видит личные данные криптовалютного кошелька, то заменяет адрес получателя на кошелек мошенника.
Семейство Casbaneiro применяет множество сложных алгоритмов для маскировки кода, расшифровки скачанных компонентов и данных конфигураций. Основной способ распространения Casbaniero — вредоносная фишинговая рассылка, как и у Amavaldo.
Особенностью трояна стало то, что операторы Casbaneiro тщательно старались скрыть домен и порт C&C-сервера. Его прятали в самых разных местах — в поддельных записях DNS, в онлайн-документах Google Docs и даже на фальшивых сайтах разных учреждений. Интересно, что иногда злоумышленникам удавалось спрятать следы управляющего сервера и на официальных сайтах, а также в описаниях видео на Youtube.
