Phát hiện biến thể của ZeuS trong email mạo danh Starbucks

Vừa qua, các chuyên gia Kaspersky Lab đã phát hiện các tập tin đính kèm có chứa biến thể một trong những dòng phần mềm gián điệp nổi tiếng nhất Zbot (ZeuS). Các tập tin này được đính kèm các email có nội dung mạo danh một thương hiệu cà phê khá phổ biến.

Tội phạm mạng thường sử dụng các email giả mạo để lừa người dùng mở các tập tin đính kèm độc hại (phishing mail). Hai hình thức thư giả mạo phổ biến gồm: tin nhắn từ một thương hiệu quen thuộc (ngân hàng, mạng xã hội, nhà cung cấp dịch vụ hay các tổ chức khác có thể thu hút đối với người nhận); và tiêu đề thư mang nội dung hấp dẫn hay cảnh báo. Một cuộc tấn công mới đây dựa trên những tin nhắn mạo danh chuỗi cà phê Starbucks đã kết hợp cả hai hình thức kể trên.

Nội dung thư giả mạo cho biết một vài giờ trước, một người bạn của người nhận thư đã đặt dịch vụ của cửa hàng Starbucks để chúc mừng một sự kiện đặc biệt của người này. Người bạn bí ẩn này muốn được giấu tên, gửi những lời mời cùng thực đơn chi tiết nằm trong tập tin đính kèm, và mong khách mời sẽ có một buổi tối thật bất ngờ.

Phát hiện biến thể của ZeuS trong email mạo danh Starbucks

Tất cả tin nhắn được gửi đi một cách nghiêm túc. Ngoài ra, địa chỉ thư được tạo từ các dịch vụ mail miễn phí là Gmail và Yahoo!, thay đổi theo từng tin nhắn và có vẻ được tạo ra bằng sự kết hợp ngẫu nhiên, ví dụ như incubationg46@, mendaciousker0@, v.v…

Tập tin đính kèm là một file .exe và tội phạm mạng cũng không cần nỗ lực che giấu nó qua kho lưu trữ hay mở rộng tên tập tin gấp đôi. Chúng dường như chắc chắn người nhận sẽ mở tập tin đính kèm mà không có bất kỳ sự nghi ngờ nào. Kaspersky Lab đã phát hiện các tập tin đính kèm Rootkit.Win32.Zbot.sapu - một biến thể của một trong những dòng phần mềm gián điệp nổi tiếng nhất Zbot (ZeuS) được dùng để ăn cắp thông tin bí mật. Phiên bản này của Zbot có thể cài đặt một rootkit Rootkit.Win32.Necurs hay Rootkit.Win64.Necurs, phá vỡ chức năng chống virus hoặc các giải pháp bảo mật khác trên máy tính nạn nhân.

Thông tin chi tiết, vui lòng truy cập http://www.securelist.com

Theo Kaspersky Lab