Eerder deze maand ontdekte Kaspersky een Qbot-malwarepiek gericht op zakelijke gebruikers, verspreid via een kwaadaardige spammailcampagne. De aanvallers gebruiken geavanceerde social engineering-technieken: ze onderscheppen bestaande werkcorrespondentie en sturen kwaadaardige PDF-bijlagen door naar dezelfde e-mailthreads. Sinds 4 april zijn in verschillende landen meer dan 5.000 e-mails met PDF-bijlagen ontvangen en de campagne loopt nog door. Onderzoekers van Kaspersky hebben een technische analyse van de scam uitgevoerd.
Qbot is een beruchte banking Trojan die functioneert als onderdeel van een botnet-netwerk. Het is in staat om gegevens zoals wachtwoorden en werkcorrespondentie te stelen. Ook kunnen kwaadwillenden een geïnfecteerd systeem controleren en ransomware of andere Trojaanse paarden installeren op andere apparaten in het netwerk. De gebruikers van de malware gebruiken verschillende manieren voor het verspreiden van de malware, waaronder het versturen van e-mails met schadelijke PDF-bijlagen. Dit is niet eerder in deze campagne waargenomen.
Sinds begin april heeft Kaspersky een piek waargenomen in de activiteit van een spammailcampagne die gebruik maakt van deze specifieke scam met PDF-bijlagen. De golf begon op de avond van 4 april en sindsdien hebben de experts meer dan 5.000 spammails met PDF-bestanden ontdekt die deze malware verspreiden in het Engels, Duits, Italiaans en Frans.
Voorbeeld van een doorgestuurde e-mail met een kwaadaardige PDF-bijlage. Het bericht van de aanvaller staat boven de lijn
De malware wordt verspreid via de echte werkcorrespondentie van een potentieel slachtoffer, gestolen door cybercriminelen. Zij sturen een e-mail door naar alle deelnemers van de bestaande thread en vragen hen meestal om de schadelijke PDF-bijlage om verschillende logische redenen te openen. De aanvallers kunnen bijvoorbeeld vragen om alle documentatie met betrekking tot de bijlage te delen of het bedrag van het contract te berekenen aan de hand van de in de bijlage geschatte kosten.
"Wij raden bedrijven aan waakzaam te blijven omdat Qbot-malware zeer schadelijk is, ook al is de kernfunctionaliteit ervan de afgelopen twee jaar niet veranderd. De cybercriminelen verbeteren hun technieken voortdurend en voegen nieuwe overtuigende elementen van social engineering toe. Dit verhoogt de kans dat een werknemer het slachtoffer wordt van de truc. Om veilig te blijven, moet je zorgvuldig verschillende dingen controleren, zoals de spelling van het e-mailadres van de afzender, rare bijlagen, grammaticale fouten, enzovoort. Daarnaast kunnen gespecialiseerde cybersecurityoplossingen helpen de veiligheid van bedrijfsmails te waarborgen," aldus Darya Ivanova, Malware Analist bij Kaspersky.
Voorbeelden van een PDF-bestand uit een e-mailbijlage
De inhoud van het PDF-bestand is een afbeelding die een melding van Microsoft Office 365 of Microsoft Azure nabootst. Als een gebruiker op 'Openen' klikt, wordt het schadelijke archief naar zijn computer gedownload vanaf een externe server (gecompromitteerde website).
Kaspersky-experts hebben een gedetailleerde technische analyse van deze scam uitgevoerd. Deze is beschikbaar op Securelist.
