Weekend to anglojęzyczne określenie dni teoretycznie wolnych od pracy — soboty i niedzieli oraz czasu wolnego w piątek po pracy. Jakie polskie słowo będzie lepszym odpowiednikiem weekendu? W sieci znaleźliśmy ładne określenie „zapiątek” :-) Zapiątek zawsze zwiastuje coś ciekawego. W tym tygodniu jest to próba zainfekowania komputerów Danabotem.

Danabot to szkodliwe oprogramowanie. Bardzo groźne. Charakteryzuje się pewnymi wskaźnikami używanymi przez trojany bankowe, ale ostatnio uaktualniony wariant DanaBot atakował też potencjalne ofiary z Polski i Włoch, szyfrując im pliki — pobierał ransomware.

DanaBot to modułowy trojan bankowy opracowany w języku programowania Delphi i zaprojektowany do kradzieży danych uwierzytelniających, poufnych informacji bankowych poprzez zbieranie danych z formularzy, wykonywanie zrzutów ekranu lub rejestrowanie naciśnięć klawiszy na zainfekowanych komputerach. Wszystkie dane zebrane podczas fazy gromadzenia informacji są odsyłane z powrotem do serwera C2, który kontrolują operatorzy trojana bankowego. Szczegółową ewolucję trojana Danabot opracował ESET.

Ów kampania jest skierowana w przedsiębiorców, którzy rozliczają się z urzędem skarbowym. Spam nosi tytuł „Podatek VAT” i podszywa się pod adres [email protected][.]pl — wiadomość zachęca do zapłaty zaległego podatku VAT na wskazany w mailu numer rachunku i otwarcie droppera — złośliwego oprogramowania, które pobiera trojana DanaBot.

Danabot Krajowa Administracja Skarbowa.
Danabot. Krajowa Administracja Skarbowa. Źródło: CERT Polska.

Oryginalna treść brzmi:

Witam, przesylamy wezwanie do uiszczenia zaległego podatku VAT pod grozba kary wynoszącej od 5 tys. do 500 tys. zl okres na wplacenie zaleglosci wynosi 7 dni roboczych od dnia dzisiejszego Rachunek, na który należy wplacic niezależny podatek to PKO BP 20 1020 1332 0000 1502 0633 5436 z tytulem zalegly podatek VAT.

Pozdrawiam,

Ewelina Kowal
Tel. 48 795 223 162
+48 85 652 41 10

www.KrajowaAdministracjaSkarbowa.pl, [email protected]

Przeanalizowane złośliwe oprogramowanie przez CERT Polska pobiera z adresu 23.83.133[.]186 plik „Podatek VAT.PDF.exe”.

Suma kontrola z tej kampanii to:

a94d45ce10fcda63c7ac25c5c0f0471e2986be0ea710d68af367726b0b83eacf

Incydenty z podobnych kampanii można zgłaszać na stronie https://incydent.cert.pl

AUTOR:

Adrian Ścibor

Podziel się

Komentarze

Skuter pon., 05-08-2019 - 11:46

Ciekawe czy ktoś z banku zablokował to konto ?

Ioki pon., 05-08-2019 - 19:44

Raczej nie. To jest konto konkretnej osoby. Pewnie słupa. Musi wpłynąć oficjalna skarga od policji.

Dodane przez Skuter w odpowiedzi na

Dodaj komentarz