Guildma: Bankprogramvare som bruker e-post, Facebook og YouTube for å spre seg

Forskerne hennes ESET, ifølge ferske analyser av bank-trojanere påvirket Latin-Amerika, gikk videre til sin anatomi Gildemor.

Σspesielt gikk videre til anatomien til de mektigste og mest avanserte banktrojan som de noen gang hadde møtt fra denne gruppen i det området: den Gildemor. Denne skadevaren retter seg spesifikt mot bankinstitusjoner og prøver å stjele legitimasjon for e-postkontoer, e-butikker og strømmetjenester i Brasil.

Den har infisert minst 10 ganger flere ofre enn andre latinamerikanske banktrojanere analysert av ESET. I løpet av boomperioden – en enorm kampanje i 2019 – hadde ESET registrert opptil 50.000 XNUMX angrep om dagen. Guildma sprer seg utelukkende gjennom uønskede e-poster med ondsinnede vedlegg.

I en av sine siste utgivelser brukte Guildma en ny måte å distribuere kommando- og kontrollservere på, og misbrukte profiler på YouTube og Facebook. Operatørene sluttet imidlertid å bruke Facebook nesten umiddelbart, og stoler i det minste på dette stadiet helt på YouTube.

«Guildma bruker svært innovative utførelsesmetoder og sofistikerte angrepsteknikker. Selve angrepet orkestreres av C&C-serveren. På denne måten kan operatørene reagere mer fleksibelt på mottiltakene banker iverksetter når de blir angrepetForklarer Robert Šuman, ESET-forsker som leder Guildma-analyseteamet.

Guildma har flere bakdørsfunksjoner, som å ta skjermbilder, ta opp tastetrykk, simulere mus- og tastaturfunksjoner, blokkere snarveier (som å deaktivere Alt + F4 for å gjøre det vanskeligere for falske vinduer å forsvinne) og/eller starte på nytt.

I tillegg har Guildma en svært modulær arkitektur, som for tiden består av minst 10 moduler. Skadevaren bruker verktøy som allerede er på maskinen og gjenbruker sine egne metoder. «Nye teknikker legges til fra tid til annen, men for det meste ser det ut til at utviklere bare gjenbruker teknikker fra eldre versjoner.", sier Šuman.

I en av de første utgavene Gildemor i 2019 ble muligheten for å målrette mot institusjoner (hovedsakelig banker) utenfor Brasil lagt til. De siste 14 månedene har imidlertid ikke ESET oppdaget noen internasjonale kampanjer utenfor landet. Faktisk gikk angriperne så langt som å blokkere nedlastinger fra IP-adresser utenfor Brasil.

Guildmas kampanjer eskalerte sakte frem til den massive kampanjen i august 2019, da ESET Research Team registrerte opptil 50.000 10 prøver per dag. Denne kampanjen fortsatte i nesten to måneder, og nådde mer enn dobbelt så mye deteksjon som ble observert XNUMX måneder tidligere.

Kilde