Согласно новому отчету Trend Micro, после короткого перерыва группировка Black Basta возобновила распространение вредоносного ПО QAKBOT 8 сентября 2022 г. В обнаруженной кампании злоумышленники распространяют QAKBOT через SmokeLoader , Emotet и вредоносный спам, а затем развертывают фреймворк Brute Ratel в качестве полезной нагрузки второго этапа.
Временная шкала атаки
Обнаруженная кампания начинается с электронного письма, содержащего вредоносный URL-адрес, на котором нужно скачать архив с документами.
Вредоносная страница
Архив содержит ISO-файл, который представляет из себя видимый LNK-файл и два скрытых подкаталога, каждый из которых содержит различные файлы и каталоги.
Содержимое ISO-файла
Кроме того, инфраструктура C&C-сервера географически распределена между скомпрометированными хостами, находящимися преимущественно в широкополосных сетях интернет-провайдеров (ISP) в 28 странах. Операторы QAKBOT пользуются каждым C&C-сервером один раз и часто меняют их в каждой кампании, хотя некоторые сохраняются в нескольких конфигурациях QAKBOT.
Через 6 минут после внедрения QAKBOT проводит разведку в сети, а затем сбрасывает
Источник: SecurityLab