_:n22e33741b9c94fd1b141457e45ae170axb0
<http://schema.org/articleBody>
"Специалисты по кибербезопасности из Forcepoint&amp;nbsp;зафиксировали&amp;nbsp;новую компанию по распространению банковского трояна Dridex. Целью атаки стали адреса электронной почты, которые принадлежат пользователям из Европы и Австралии. Более половины писем получили адресаты, зарегистрированные в зоне .com, однако под угрозой оказались и национальные домены Франции, Англии и ряда других стран.В качестве источника вредоносного кода используются файлы, размещенные на FTP-серверах. Каждое письмо содержит ссылку либо на документ Word с интегрированным в него скриптом для динамического обмена данными (DDE), либо на таблицу Excel с макросом для распаковки трояна.Это&amp;nbsp;не первый случай&amp;nbsp;использования DDE и файлов MS Office для внедрения банкера. В апреле прошлого года Microsoft уже&amp;nbsp;выпускала патч&amp;nbsp;для устранения уязвимости, которую использовал Dridex.Судя по тому, что FTP-серверы, которые используются для хранения зараженных файлов, работают на различном ПО и никак не связаны между собой, злоумышленники применяют для атаки базу взломанных аккаунтов.Авторы рассылки не пытаются скрывать адрес расположения документов и не беспокоятся о возможной компрометации используемых серверов. Скорее всего, доступ к FTP-аккаунтам хакеры получили в ходе отдельной атаки, а взломанных профилей достаточно, чтобы использовать каждый из них лишь единожды.Чтобы придать большую достоверность рассылаемым письмам, в качестве имени отправителя применяются часто используемые в переписке значения, такие как admin@, billing@, help@, info@ и т.д. Доставкой зараженных сообщений, по всей видимости, занимается ботнет Necurs, который уже применялся для распространения этого эксплойта.Dridex &amp;mdash; один из&amp;nbsp;самых успешных банкеров&amp;nbsp;в мире. Нанесенный им ущерб оценивается в десятки миллионов долларов, при том что первая версия программы появилась в 2011 году. С тех пор вредоносный код неоднократно изменялся, а методы заражения становились все более и более сложными.Особенностью новой кампании является использование взломанных FTP-аккаунтов. Очевидно, злоумышленники рассчитывают, что ссылки на &amp;laquo;надежные&amp;raquo; серверы позволят обойти системы защиты почтовых шлюзов и антивирусов. Стоит отметить, что относительно небольшой размер кампании &amp;mdash; около 9500 писем &amp;mdash; может также свидетельствовать о том, что это лишь тестовая атака для обкатки новой технологии распространения."
<https://defmod.ru/news/2018/dridex-ispolzuet-dlya-ataki-skomprometirovannyie-ftp-servisyi/>