Dridex is 'n bankwanware wat makro's gebruik om op Windows-stelsels te versprei. Spam-e-posaanhangsels word gebruik om hierdie infeksie te versprei. Bankwanware is gewoonlik sleutelloggers. Hulle mislei gebruikers om die aanhangsel oop te maak; dit teken dan die toetsaanslagen op die gebruiker se rekenaar op en gebruik dit vir hul eie voordeel. Onlangs opgemerkte Dridex-interaksie het PDF-lêers as die draer bevat. Aanhangsel het faktuur of betalingskwitansie bevat.
Die onderwerpreël is "Afskrif van u 123-reg faktuur (123-458452066)"
Die boodskapliggaam bevat besonderhede oor die bestelling wat geplaas is en hulle het die betalingsbewys aangeheg. Ondersteuningsbesonderhede word aan die einde van die e-pos gegee om dit eg te laat lyk en die gebruiker te oortuig om die aanhangsel oop te maak.
Hoe dit op die stelsel versprei:
- E-pos bevat 'n PDF-lêer en 'n ingebedde Doc-lêer daarin
PDF-naam – 123-149715480-reg-invoice.pdf
Versprei via spam-e-posse en mislei die gebruiker om dit oop te maak, met vermelding van 'n betalingskwitansie of faktuur.
- Ingeslote Docm-lêer binne die PDF
- Nadat die PDF-lêer oopgemaak is, wys Adobe Reader 'n waarskuwing wat sê dat die Docm-lêer wat jy oopmaak, kwaadwillige makro's of virusse kan bevat.
Hier, soos ons kan sien, is die docm-lêer 99848 verantwoordelik vir infeksie.
- Laat Docm-lêer val by %temp% ligging soos "99848.docm". Daar is opgemerk dat dit altyd 'n numeriese docm-lêer laat val. Die lêer word laat val wanneer jy op klik. "maak die lêer oop" opsie wat tydens die waarskuwing getoon word wanneer jy die PDF oopmaak.
- Dokumentlêer wat verwyder word, maak oop in leesalleenmodus en 'n geel balk verskyn om redigering toe te laat om toegang te verkry en uit te voer.
Dridex het sy verspreidingsmetode verander, maar die aksie bly dieselfde. Soortgelyke manier van verspreiding deur Docm-lêers, tree PDF net as 'n draer op. 'n Sterker tegniek om strooiposse te identifiseer en 'n sterker firewallbeleid te konfigureer, is 'n moet.
Vinnige Genesingsopsporing
- Die Quick Heal Email Protection-funksie blokkeer sulke kwaadwillige aanhangsels (in hierdie geval die skriplêer) suksesvol selfs voordat hulle uitgevoer word.
- Quick Heal het opsporing gegee vir die PDF- en ingebedde dokumentlêer.
Voorsorg maatreels
- E-posaanhangsels wat 'n dubbele uitbreiding soos pdf.bin of doc.js bevat, moet nooit oopgemaak word as hulle van onbekende of onbetroubare bronne afkomstig is nie.
- Besoek altyd bekende webwerwe, moenie op enige skakel of advertensie klik wat aanloklike aanbiedinge wys nie.
- Dateer jou antivirus gereeld op sodat jou data en stelsel veilig is teen die voortdurende tendense van wanware.
- Hou jou sagteware en bedryfstelsel opgedateer om 'n veilige digitale omgewing te verseker.
ERKENNING
Onderwerp deskundige
• Nayan Vairagi
– Bedreigingsnavorsing- en Reaksiespan
