Weekend to anglojęzyczne określenie dni teoretycznie wolnych od pracy — soboty i niedzieli oraz czasu wolnego w piątek po pracy. Jakie polskie słowo będzie lepszym odpowiednikiem weekendu? W sieci znaleźliśmy ładne określenie „zapiątek” 🙂 Zapiątek zawsze zwiastuje coś ciekawego. W tym tygodniu jest to próba zainfekowania komputerów Danabotem.
Danabot to szkodliwe oprogramowanie. Bardzo groźne. Charakteryzuje się pewnymi wskaźnikami używanymi przez trojany bankowe, ale ostatnio uaktualniony wariant DanaBot atakował też potencjalne ofiary z Polski i Włoch, szyfrując im pliki — pobierał ransomware.
DanaBot to modułowy trojan bankowy opracowany w języku programowania Delphi i zaprojektowany do kradzieży danych uwierzytelniających, poufnych informacji bankowych poprzez zbieranie danych z formularzy, wykonywanie zrzutów ekranu lub rejestrowanie naciśnięć klawiszy na zainfekowanych komputerach. Wszystkie dane zebrane podczas fazy gromadzenia informacji są odsyłane z powrotem do serwera C2, który kontrolują operatorzy trojana bankowego. Szczegółową ewolucję trojana Danabot opracował ESET.
Ów kampania jest skierowana w przedsiębiorców, którzy rozliczają się z urzędem skarbowym. Spam nosi tytuł „Podatek VAT” i podszywa się pod adres skarbowa@policja24[.]pl — wiadomość zachęca do zapłaty zaległego podatku VAT na wskazany w mailu numer rachunku i otwarcie droppera — złośliwego oprogramowania, które pobiera trojana DanaBot.
Oryginalna treść brzmi:
Witam, przesylamy wezwanie do uiszczenia zaległego podatku VAT pod grozba kary wynoszącej od 5 tys. do 500 tys. zl okres na wplacenie zaleglosci wynosi 7 dni roboczych od dnia dzisiejszego Rachunek, na który należy wplacic niezależny podatek to PKO BP 20 1020 1332 0000 1502 0633 5436 z tytulem zalegly podatek VAT.
Pozdrawiam,
Ewelina Kowal
Tel. 48 795 223 162
+48 85 652 41 10
Przeanalizowane złośliwe oprogramowanie przez CERT Polska pobiera z adresu 23.83.133[.]186 plik „Podatek VAT.PDF.exe”.
Suma kontrola z tej kampanii to:
a94d45ce10fcda63c7ac25c5c0f0471e2986be0ea710d68af367726b0b83eacf
Incydenty z podobnych kampanii można zgłaszać na stronie https://incydent.cert.pl
