Guildma: Bankovní malware, který k šíření využívá e-mail, Facebook a YouTube

Její výzkumníci ESET, podle nedávných analýz bankovní trojské koně postihující Latinskou Ameriku, přistoupilo se k její anatomii Guildma.

Σzejména přistoupil k anatomii nejmocnějších a nejpokročilejších bankovní trojan se kterými se kdy od této skupiny v dané oblasti setkali: the Guildma. Tento malware se konkrétně zaměřuje na bankovní instituce a snaží se ukrást přihlašovací údaje k e-mailovým účtům, e-shopům a streamovacím službám v Brazílii.

Infikoval nejméně 10krát více obětí než ostatní latinskoamerické bankovní trojské koně, které analyzoval ESET. Během období boomu – obrovské kampaně v roce 2019 – zaznamenal ESET až 50.000 XNUMX útoků denně. Guildma se šíří výhradně prostřednictvím nevyžádaných e-mailů se škodlivými přílohami.

V jedné ze svých nejnovějších verzí Guildma použila nový způsob distribuce příkazových a řídicích serverů a zneužila profily na YouTube a Facebooku. Jeho provozovatelé však Facebook prakticky okamžitě přestali používat a alespoň v této fázi se zcela spoléhají na YouTube.

«Guildma používá velmi inovativní metody provádění a sofistikované techniky útoku. Vlastní útok řídí server C&C. Jeho provozovatelé tak mohou pružněji reagovat na protiopatření bank při napadeníVysvětluje Robert Šuman, výzkumník společnosti ESET, který vede analytický tým Guildma.

Guildma má několik funkcí zadních vrátek, jako je pořizování snímků obrazovky, nahrávání úhozů, simulace funkcí myši a klávesnice, blokování zkratek (jako je deaktivace Alt + F4, aby bylo obtížnější zmizet falešná okna) a / nebo restartování.

Kromě toho má Guildma vysoce modulární architekturu, která se v současnosti skládá z minimálně 10 modulů. Malware používá nástroje, které jsou již v počítači, a znovu používá své vlastní metody. «Čas od času se přidávají nové techniky, ale většinou se zdá, že vývojáři znovu používají techniky ze starších verzí.“, říká Šuman.

V jednom ze svých prvních vydání Guildma v roce 2019 přibyla možnost zacílit na instituce (hlavně banky) mimo Brazílii. Za posledních 14 měsíců však ESET nezaznamenal žádné mezinárodní kampaně mimo zemi. Ve skutečnosti šli útočníci tak daleko, že zablokovali stahování z IP adres mimo Brazílii.

Kampaně Guildmy pomalu eskalovaly až do masivní kampaně v srpnu 2019, kdy výzkumný tým ESET zaznamenal až 50.000 10 vzorků denně. Tato kampaň pokračovala téměř dva měsíce a dosáhla více než dvojnásobného množství detekce pozorované před XNUMX měsíci.

Zdroj