Вчера исследователи кибербезопасности из IBM опубликовали отчёт о выявленной ими кампании по распространению вредоносного ПО, использующего веб-инъекции JavaScript для кражи банковских данных из 40 банков в Северной и Южной Америке, Европе и Японии.
Специалисты выявили, что кампания готовилась с декабря 2022 года, когда были приобретены использованные в атаках вредоносные домены. Выявлена же кампания была только в марте этого года. На текущий момент от деятельности хакеров пострадало уже более 50 000 пользователей.
Сами атаки реализованы через JS-скрипты, загружаемые с сервера злоумышленников, и направлена на конкретную структуру страниц, распространённую во многих банках. Конечная цель атаки – перехват учётных данных пользователей и их одноразовых паролей (OTP) для входа в банковскую систему и получения полного доступа над аккаунтом жертвы, включая осуществление несанкционированных транзакций.
Не углубляясь в подробности, IBM сообщает, что первоначальное заражение может происходить через мошенническую рекламу или фишинг. Затем вредонос внедряет в браузер жертвы специальный скриптовый тег, который ведёт уже на внешний скрипт. Этот подход увеличивает скрытность атаки, поскольку простые скрипты-загрузчики реже помечаются как вредоносные.
Итоговый вредоносный скрипт также маскируется: в рассмотренной кампании, например, под легитимные сети доставки JavaScript-контента. Для уклонения от обнаружения хакеры использовали домены, похожие на легитимные “cdnjs[.]com” и “unpkg[.]com”. Перед выполнением скрипт также проверяет наличие определённых антивирусных продуктов в системе жертвы. Всё для избежания обнаружения.
Примечательно, что скрипт способен динамично менять своё поведение в зависимости от указаний C2-сервера, поддерживая множество операционных состояний.
Исследователи обнаружили связь между этой кампанией и DanaBot, модульным банковским трояном, распространяемым с 2018 года. По данным IBM, обнаруженная в марте кампания всё ещё продолжается. Пользователям банковских приложений в группе риска специалисты IBM порекомендовали проявлять повышенную бдительность при использовании электронной почты, поисковых агрегаторов и непосредственно онлайн-банкинга.