ESET Research обнаружила Janeleiro-новый банковский троян, атакующий корпоративных пользователей в Бразилии

Он пытается обмануть своих жертв с помощью всплывающих окон, предназначенных для того, чтобы выглядеть как сайты некоторых из крупнейших банков Бразилии. После этого он обманывает жертв вредоносного ПО, вводя их банковские учетные данные и личную информацию. Он способен контролировать экранные окна, собирать информацию о них, убивать chrome.exe (Google Chrome), захват экрана, а также клавиши управления кейлоггингом, движения мыши, и он может захватить буфер обмена, чтобы изменить биткойн-адреса с теми из преступников в режиме реального времени.

На протяжении 2020-2021 годов ESET проводила серию расследований по известным семействам банковских троянских вредоносных программ, нацеленных на Латинскую Америку. Janeleiro следует той же схеме для его основной реализации, как и многие другие семейства вредоносных программ, которые нацелены на Бразилию. Однако он отличается от этих семейств несколькими способами, такими как язык кодирования. Следуя чертежу, банковские трояны в Бразилии все закодированы на одном и том же языке программирования, Delphi, Janeleiro является первым в Бразилии, который кодируется в .NET. Другие отличительные особенности включают в себя: отсутствие обфускации, отсутствие пользовательского шифрования и отсутствие защиты от программного обеспечения безопасности.

Большинство команд Джанелейро предназначены для управления окнами, мышью и клавиатурой, а также поддельными всплывающими окнами. “Природа атаки Джанелейро характеризуется не возможностями автоматизации, а скорее практическим подходом: во многих случаях оператор должен корректировать всплывающие окна с помощью команд, выполняемых в режиме реального времени”,-говорит исследователь ESET Факундо Муньос, открывший Джанелейро.

“Похоже, что банковский троян находился в стадии разработки еще в 2018 году, а в 2020 году улучшил свою обработку команд, чтобы дать оператору лучший контроль во время атаки”, - добавляет Муньос, который продолжает: “экспериментальная природа Джанелейро, переходящего туда-сюда между различными версиями, показывает субъекта угрозы, который все еще пытается найти правильный способ управления своими инструментами, но не менее опытен в следовании уникальному плану многих семейств вредоносных программ в Латинской Америке.”

Интересно, что этот субъект угроз чувствует себя комфортно, используя веб-сайт репозитория GitHub для хранения своих модулей, администрирования своей страницы организации и загрузки новых репозиториев каждый день, где он хранит файлы со списками своих серверов C&C, которые трояны извлекают для подключения к своим операторам. Когда на компьютере жертвы обнаруживается одно из ключевых слов, связанных с банковскими операциями, он немедленно пытается получить адреса своих серверов C&C из GitHub и подключается к ним. Эти поддельные всплывающие окна динамически создаются по требованию и управляются злоумышленником с помощью команд. ESET уведомила GitHub об этой деятельности, но на момент написания статьи никаких действий в отношении страницы организации или учетной записи пользователя не предпринималось.

Обзор атаки жанелейру (упрощенный)