Guildma: złośliwe oprogramowanie bankowe, które do rozprzestrzeniania się wykorzystuje pocztę e-mail, Facebook i YouTube

Jej badacze ESET, według ostatnich analiz trojany bankowe wpływając na Amerykę Łacińską, przystąpił do jej anatomii Gildma.

Σw szczególności przystąpił do anatomii najpotężniejszych i najbardziej zaawansowanych trojan bankowy jakie kiedykolwiek spotkali z tej grupy w tamtym rejonie: Gildma. Szkodnik ten atakuje w szczególności instytucje bankowe, próbując wykraść dane uwierzytelniające do kont e-mail, sklepów internetowych i usług przesyłania strumieniowego w Brazylii.

Zainfekował co najmniej 10 razy więcej ofiar niż inne trojany bankowe z Ameryki Łacińskiej analizowane przez ESET. W okresie boomu - ogromnej kampanii w 2019 r. - ESET odnotował do 50.000 XNUMX ataków dziennie. Guildma rozprzestrzenia się wyłącznie za pośrednictwem niechcianych wiadomości e-mail ze złośliwymi załącznikami.

W jednym ze swoich najnowszych wydań Guildma wykorzystała nowy sposób dystrybucji serwerów dowodzenia i kontroli, nadużywając profili na YouTube i Facebooku. Jednak jej operatorzy niemal natychmiast przestali korzystać z Facebooka i, przynajmniej na tym etapie, całkowicie polegają na YouTube.

«Guildma wykorzystuje bardzo innowacyjne metody egzekucji i wyrafinowane techniki ataku. Rzeczywisty atak jest aranżowany przez serwer C&C. W ten sposób jego operatorzy mogą bardziej elastycznie reagować na środki zaradcze stosowane przez banki w przypadku atakuWyjaśnia Robert Šuman, badacz ESET, który kieruje zespołem analitycznym Guildma.

Guildma ma wiele funkcji backdoora, takich jak robienie zrzutów ekranu, nagrywanie naciśnięć klawiszy, symulowanie funkcji myszy i klawiatury, blokowanie skrótów (takich jak wyłączenie Alt + F4, aby utrudnić znikanie fałszywych okien) i/lub ponowne uruchomienie.

Ponadto Guildma ma wysoce modułową architekturę, obecnie składającą się z co najmniej 10 modułów. Złośliwe oprogramowanie wykorzystuje narzędzia, które już znajdują się na komputerze i ponownie wykorzystuje własne metody. «Od czasu do czasu dodawane są nowe techniki, ale w większości programiści po prostu wydają się ponownie wykorzystywać techniki ze starszych wersji.”, mówi Šuman.

W jednym z pierwszych wydań Gildma w 2019 roku dodano możliwość kierowania do instytucji (głównie banków) spoza Brazylii. Jednak przez ostatnie 14 miesięcy firma ESET nie wykryła żadnych międzynarodowych kampanii poza granicami kraju. W rzeczywistości osoby atakujące posunęły się tak daleko, że zablokowały pobieranie z adresów IP spoza Brazylii.

Kampanie Guildmy nasilały się powoli, aż do masowej kampanii w sierpniu 2019 r., kiedy zespół badawczy ESET rejestrował do 50.000 10 próbek dziennie. Kampania ta trwała prawie dwa miesiące, osiągając ponad dwukrotnie więcej wykrywalności obserwowanych XNUMX miesięcy wcześniej.

Źródło