Guildma: Bankskadlig programvara som använder e-post, Facebook och YouTube för att spridas

Hennes forskare ESET, enligt färska analyser av bank-trojaner som påverkar Latinamerika, fortsatte till sin anatomi Guildma.

Σi synnerhet fortsatte till anatomin hos de mest kraftfulla och avancerade banktrojan som de någonsin hade stött på från denna grupp i det området: den Guildma. Denna skadliga programvara riktar sig specifikt till bankinstitutioner och försöker stjäla referenser för e-postkonton, e-butiker och streamingtjänster i Brasilien.

Det har infekterat minst 10 gånger fler offer än andra latinamerikanska banktrojaner som analyserats av ESET. Under högkonjunkturen – en enorm kampanj 2019 – hade ESET registrerat upp till 50.000 XNUMX attacker om dagen. Guildma sprider uteslutande genom oönskade e-postmeddelanden med skadliga bilagor.

I en av sina senaste utgåvor använde Guildma ett nytt sätt att distribuera kommando- och kontrollservrar, missbruka profiler på YouTube och Facebook. Dess operatörer slutade dock använda Facebook nästan omedelbart och förlitar sig, åtminstone i detta skede, helt på YouTube.

«Guildma använder mycket innovativa avrättningsmetoder och sofistikerade attacktekniker. Själva attacken orkestreras av C&C-servern. På så sätt kan dess operatörer reagera mer flexibelt på de motåtgärder som banker vidtar när de attackerasFörklarar Robert Šuman, ESET-forskare som leder Guildmas analysteam.

Guildma har flera bakdörrsfunktioner, som att ta skärmdumpar, spela in tangenttryckningar, simulera mus- och tangentbordsfunktioner, blockera genvägar (som att inaktivera Alt + F4 för att göra det svårare för falska fönster att försvinna) och/eller starta om.

Dessutom har Guildma en mycket modulär arkitektur som för närvarande består av minst 10 moduler. Skadlig programvara använder verktyg som redan finns på maskinen och återanvänder sina egna metoder. «Nya tekniker läggs till då och då, men för det mesta verkar utvecklare bara återanvända tekniker från äldre versioner.", säger Šuman.

I en av dess första upplagor Guildma under 2019 tillkom möjligheten att rikta in sig på institutioner (främst banker) utanför Brasilien. Under de senaste 14 månaderna har ESET dock inte upptäckt några internationella kampanjer utanför landet. Faktum är att angriparna gick så långt att de blockerade nedladdningar från IP-adresser utanför Brasilien.

Guildmas kampanjer eskalerade långsamt fram till den massiva kampanjen i augusti 2019, då ESETs forskningsteam registrerade upp till 50.000 10 prover per dag. Denna kampanj fortsatte i nästan två månader och nådde mer än dubbelt så mycket upptäckt som observerades XNUMX månader tidigare.

Källa