Обнаружена спам-кампания, направленная на хищение криптовалюты

Специалисты Cyren обнаружили новую спам-кампанию, направленную на клиентов банков. В ходе кампании злоумышленники рассылают фальшивые письма якобы от крупных банков, таких как Emirates NBD и DBS Bank. Письма распространяются под видом уведомлений о сетевых платежах с прикрепленным вложением, содержащим вредоносное ПО, которое способно действовать в качестве кейлоггера и похищать криптовалюту из кошельков жертв.

Письма рассылаются ботами из США и Сингапура. Для усыпления бдительности пользователей во вложениях указываются коды SWIFT, используемые для идентификации банков и финансовых институтов для перевода денежных средств.

Прилагаемые файлы могут выглядеть как документы формата PDF, но в действительности являются исполняемыми файлами. При запуске файл удаляет себя и создает новый файл с названием filename.vbs в автозагрузке. В свою очередь, данный файл устанавливает кейлоггер, который записывает не только нажатия клавиш, но и движения мыши.

Вредонос собирает пароли и другую конфиденциальную информацию, в том числе из браузеров, FTP и почтовых клиентов (пароли, логины, историю посещения, файлы cookie и т.д.). Программа также проводит проверку на предмет криптокошельков и при их обнаружении похищает содержимое. Помимо биткойнов, вредонос может красть и другие криптовалюты, в том числе Anoncoin, BBQcoin, Bytecoin, Craftcoin, Devcoin, Digitalcoin, Fastcoin, Feathercoin, Florincoin, Freicoin, I0coin, Infinitecoin, Ixcoin, Junkcoin, Litecoin, Luckycoin, Megacoin, Mincoin, Namecoin, Phoenixcoin, Primecoin, Quarkcoin, Tagcoin, Terracoin, Worldcoin, Yacoin и Zetacoin.