Nerbian RAT нацеливается на жертв в Европе

Исследователи безопасности недавно задокументировали новый штамм вредоносного ПО. Угроза получила название Nerbian и обладает свойствами, типичными для троянов удаленного доступа, отсюда и полное название Nerbian RAT.

Возможно, немного опоздав на вечеринку, Nerbian RAT распространяется через фишинговую кампанию по электронной почте, в которой используются приманки, связанные с Covid-19. Кампания, похоже, была целенаправленной, учитывая ее относительно небольшой объем. Исследователи определили начало фишинговой кампании в последнюю неделю апреля 2022 года.

Вредоносная программа имеет ряд функций, которые помогают избежать автоматического обнаружения, в том числе «несколько процедур шифрования».

Вредоносные электронные письма якобы исходят от Всемирной организации здравоохранения и содержат вложенный файл вредоносного документа. Файл включает в себя маркированные списки того, что нужно делать, если у вас есть симптомы Covid, и инструкции о том, как правильно самоизолироваться, а также вредоносные макросы, которые будут запрашивать разрешение на выполнение перед отображением текста документа.

После выполнения макроса загружается вредоносный исполняемый файл с именем «UpdateUAV.exe». Это дроппер-компонент цепочки атаки Nerbian RAT. Окончательная полезная нагрузка содержится в файле с именем «MoUsoCore.exe».

Вредонос оснащен функциями, которые останавливают процесс, если с ним пытаются взаимодействовать аналитические инструменты и отладчики.

Nerbian RAT сам по себе обладает приличными возможностями, включая регистрацию ввода с клавиатуры, создание снимков экрана и прием удаленных команд, а также передачу данных на свои C2-серверы.

RAT использовался для нацеливания на организации в нескольких европейских странах, включая Испанию, Италию и Великобританию.

May 12, 2022