Guildma: Phần mềm độc hại ngân hàng sử dụng email, Facebook và YouTube để phát tán

Các nhà nghiên cứu của cô ấy ESET, theo các phân tích gần đây về Trojan ngân hàng ảnh hưởng đến Mỹ Latinh, tiến tới giải phẫu của nó bang hội.

Σđặc biệt, tiến tới giải phẫu của những người mạnh mẽ và tiên tiến nhất Trojan ngân hàng mà họ đã từng gặp phải từ nhóm này trong lĩnh vực đó: bang hội. Phần mềm độc hại này nhắm mục tiêu cụ thể đến các tổ chức ngân hàng, cố gắng lấy cắp thông tin đăng nhập cho tài khoản email, cửa hàng điện tử và dịch vụ phát trực tuyến ở Brazil.

Nó đã lây nhiễm cho nạn nhân nhiều hơn ít nhất 10 lần so với các Trojan ngân hàng Mỹ Latinh khác được phân tích bởi ESET. Trong thời kỳ bùng nổ - một chiến dịch lớn vào năm 2019 - ESET đã ghi nhận tới 50.000 cuộc tấn công mỗi ngày. Guildma lây lan độc quyền qua các email không được yêu cầu với các tệp đính kèm độc hại.

Trong một trong những bản phát hành mới nhất của mình, Guildma đã sử dụng một cách mới để phân phối các máy chủ chỉ huy và kiểm soát, lạm dụng hồ sơ trên YouTube và Facebook. Tuy nhiên, các nhà điều hành của nó đã ngừng sử dụng Facebook gần như ngay lập tức và ít nhất là ở giai đoạn này, hoàn toàn phụ thuộc vào YouTube.

«Guildma sử dụng các phương pháp thực hiện rất sáng tạo và các kỹ thuật tấn công phức tạp. Cuộc tấn công thực sự được điều khiển bởi máy chủ C&C. Bằng cách này, các nhà khai thác có thể phản ứng linh hoạt hơn với các biện pháp đối phó mà các ngân hàng áp dụng khi bị tấn côngRobert Šuman, nhà nghiên cứu ESET, người đứng đầu nhóm phân tích Guildma, giải thích.

Guildma có nhiều chức năng cửa hậu, chẳng hạn như chụp ảnh màn hình, ghi lại tổ hợp phím, mô phỏng các chức năng của chuột và bàn phím, chặn các phím tắt (chẳng hạn như tắt Alt + F4 để các cửa sổ giả khó biến mất hơn) và / hoặc khởi động lại.

Ngoài ra, Guildma có kiến ​​trúc mô-đun cao, hiện bao gồm ít nhất 10 mô-đun. Phần mềm độc hại sử dụng các công cụ đã có trên máy và sử dụng lại các phương pháp của riêng nó. «Các kỹ thuật mới được bổ sung theo thời gian, nhưng phần lớn, các nhà phát triển dường như đang sử dụng lại các kỹ thuật từ các phiên bản cũ hơn.", Šuman nói.

Trong một trong những ấn bản đầu tiên của nó bang hội vào năm 2019, khả năng nhắm mục tiêu các tổ chức (chủ yếu là ngân hàng) bên ngoài Brazil đã được thêm vào. Tuy nhiên, trong 14 tháng qua, ESET đã không phát hiện bất kỳ chiến dịch quốc tế nào bên ngoài đất nước. Trên thực tế, những kẻ tấn công đã tiến xa hơn khi chặn tải xuống từ các địa chỉ IP bên ngoài Brazil.

Các chiến dịch của Guildma leo thang chậm chạp cho đến chiến dịch lớn vào tháng 2019 năm 50.000, khi Nhóm nghiên cứu ESET ghi nhận lên đến 10 mẫu mỗi ngày. Chiến dịch này tiếp tục trong gần hai tháng, đạt hơn gấp đôi lượng phát hiện được quan sát thấy XNUMX tháng trước đó.

Nguồn