Банковский троян Astaroth ведет атаки через WhatsApp по прежней схеме
Специалисты Acronis зафиксировали новую волну киберпреступлений с использованием банковского трояна Astaroth, распространяемого через популярный мессенджер. Схема атак на пользователей осталась прежней.
После заражения троян рассылает фишинговые сообщения контактам в WhatsApp* (принадлежит Meta*, организации, признанной экстремистской и запрещенной на территории РФ) жертвы.
Astaroth, известный с 2015 года и нацеленный на пользователей Латинской Америки, за последнее время изменил тактику и перешел от фишинговых писем к мессенджерам. Атака начинается с ZIP-архива, содержащего VBScript, который загружает Python-модуль для распространения вируса и банковский модуль для кражи личных данных. Вирус также собирает статистику о своем распространении.
После инфицирования вирус получает доступ к списку контактов WhatsApp* жертвы и автоматически отправляет зараженные сообщения, тем самым расширяя сеть заражения без участия пользователя. Основной модуль Astaroth сохранил классическую структуру. Он написан на Delphi, при этом установщик использует Visual Basic Script.
Новым элементом является червеобразный модуль, написанный на Python и отвечающий за распространение вируса через WhatsApp*.
* Организация, в отношении которой судом принято вступившее в законную силу решение о ликвидации или запрете деятельности по основаниям, предусмотренным ФЗ «О противодействии экстремистской деятельности»