Karthickkumar Kathiresan, nhà nghiên cứu bảo mật của Uptycs cho biết: “Phần mềm độc hại này đánh cắp thông tin nhạy cảm như thông tin hệ thống, ví tiền điện tử, lịch sử trình duyệt, cookie và thông tin đăng nhập của ví tiền điện tử từ máy nạn nhân”.

Chi tiết về chiến dịch này được tiết lộ lần đầu tiên bởi công ty dịch vụ công nghệ thông tin SI.net có trụ sở tại Milan vào tháng trước.

Cụ thể, trình tự lây nhiễm mã độc sẽ diễn ra trong nhiều giai đoạn, bắt đầu bằng một email lừa đảo có chủ đề hóa đơn có chứa một liên kết mà khi được nhấp vào sẽ tải xuống tệp lưu trữ ZIP được bảo vệ bằng mật khẩu, tệp này chứa hai tệp: một tệp tin lối tắt (.LNK) và một tệp tin batch (.BAT).

Quy trình lây nhiễm phần mềm độc hại

Khi đó, bất kể tệp nào được khởi chạy, chuỗi tấn công vẫn diễn ra giống nhau, vì việc mở tệp tin lối tắt sẽ tìm kiếm và nạp cùng một tập lệnh được thiết kế để cài đặt phần mềm đánh cắp thông tin từ kho lưu trữ GitHub. Điều này đạt được bằng cách tận dụng một tệp nhị phân PowerShell hợp pháp cũng được lấy từ GitHub.

Sau khi được cài đặt, phần mềm độc hại được viết bằng ngôn ngữ C# sẽ thu thập siêu dữ liệu hệ thống và thông tin từ hàng chục trình duyệt web (ví dụ: cookie, dấu trang, thẻ tín dụng, nội dung tải xuống và thông tin đăng nhập), cũng như một số ví tiền điện tử, tất cả sẽ được gửi tới một máy chủ để quản lý.

Để giảm thiểu các cuộc tấn công như vậy, các tổ chức được khuyến nghị triển khai các biện pháp kiểm soát bảo mật chặt chẽ, nhiều lớp cũng như các giải pháp bảo mật để xác định và phát hiện phần mềm độc hại.