{"id":27280,"date":"2021-07-12T08:45:33","date_gmt":"2021-07-12T06:45:33","guid":{"rendered":"https:\/\/www.kaspersky.nl\/blog\/?p=27280"},"modified":"2021-07-12T08:45:33","modified_gmt":"2021-07-12T06:45:33","slug":"icedid-qbot-banking-trojans-in-spam","status":"publish","type":"post","link":"https:\/\/www.kaspersky.nl\/blog\/icedid-qbot-banking-trojans-in-spam\/27280\/","title":{"rendered":"Banking trojans in zakelijke documenten"},"content":{"rendered":"

Voor werknemers die met honderden e-mails per dag te maken hebben, kan de verleiding groot zijn om bijlagen op de automatische piloot te lezen en te downloaden. Cybercriminelen profiteren hier natuurlijk van, en versturen zogenaamd belangrijke documenten die van alles kunnen bevatten, van phishing-links<\/a> tot malware. Onze experts ontdekten<\/a> kortgeleden twee zeer vergelijkbare spam-campagnes die de banking trojans<\/a> IcedID en Qbot verspreiden.<\/p>\n

Spam met schadelijke documenten<\/h2>\n

Beide e-mails waren vermomd als zakelijke correspondentie. In het eerste geval eisten de aanvallers compensatie voor een verzonnen reden of zeiden ze iets over het annuleren van een operatie. De bijlage van het bericht was een gezipt Excel-bestand met de naam CompensationClaim plus een reeks cijfers. De tweede spam-mailing had te maken met betalingen en contracten en bevatte een link naar de gehackte website waar het archief met het document was opgeslagen.<\/p>\n

In beide gevallen was het het doel van de aanvallers om de ontvanger te overtuigen het schadelijke Excel-bestand te openen en de macro erin te runnen, waardoor ofwel IcedID of (minder gebruikelijk) Qbot op het apparaat van het slachtoffer zou worden gedownload.<\/p>\n

<\/strong><\/p>\n

IcedID en Qbot<\/h2>\n

De banking trojans IcedID en Qbot doen al jarenlang de ronde, en IcedID trok voor het eerst de aandacht van onderzoekers<\/a> in 2017, en Qbot is al actief sinds 2008<\/a>. De aanvallers verbeteren daarbij ook nog eens constant hun technieken. Op een bepaald moment hebben ze bijvoorbeeld de hoofdcomponent van IcedID verborgen in een PNG-afbeelding met behulp van een truc die steganografie<\/a> wordt genoemd en die vrij moeilijk te detecteren is.<\/p>\n

Vandaag de dag zijn beide malware-programma\u2019s beschikbaar op de schaduwmarkt en zijn er naast de makers ervan verschillende clients die deze trojans verspreiden. De belangrijkste taak van de malware is het stelen van bankpasgegevens en inloggegevens voor bankrekeningen, bij voorkeur zakelijke rekeningen (vandaar de zakelijk aandoende e-mails). Om hun doel te bereiken, maken de trojans gebruik van verschillende methodes. Zo kunnen ze bijvoorbeeld:<\/p>\n