Хакеры рассылают электронные письма с банковским трояном Dridex, чаще всего выбирая жертв в Австралии, Великобритании и США.

Исследователи из Palo Alto Networks сообщили о том, что банковский троян Dridex изменил метод распространения и теперь осуществляет заражение персональных компьютеров, используя макросы Word. Dridex — последняя версия в линейке банковских троянов Bugat/Feodo/Cridex, она активно используется с июля текущего года.

До настоящего времени троян распространялся по электронной почте, но на прошлой неделе организаторы атаки изменили схему, так что теперь они рассылают документы Microsoft Word, содержащие макрос, который скачивает и запускает вредоносную программу. Как и свои предшественники, Dridex представляет собой типичный банковский троян по образцу Zeus. Его главная функциональность — кража учётных данных для доступа к онлайн–банкингу, так что злоумышленники получают доступ к денежным средствам жертвы и могут перевести их на другой счёт. Dridex использует конфигурационный XML–файл для определения списка сайтов, для которых осуществляется кража учётных данных. Там также перечислены сайты, которые нужно игнорировать.

Исследователи компании Trend Micro обнаружили кампанию, которая распространяет троян через макрос, вложенный в документ для Microsoft Word. Файл маскируется под счёт или другой вид финансового документа, который с большой вероятностью откроет пользователь. Как только это происходит, запускается макрос и начинается взлом компьютера посредством вредоносного софта Dridex. Согласно данным Trend Micro, наибольшее количество зараженных ПК находится в Австралии. На этот континент приходится 19,91% всех компьютеров с банковским трояном. Затем следует Великобритания с 15,24% и США с 14,08%. Информацию собирали с сентября по октябрь 2014 года.

Троян также проник на компьютеры в Италии, Испании, Индии, Франции, Китае, Японии и на Тайване. За приблизительно тот же период в Palo Alto Networks следили за еще одной кампанией, во время которой Dridex распространялся похожим способом. В этом случае наиболее зараженными оказались компьютеры в США. Жители Австралии и Великобритании также были в списке целей банковского трояна. В данном случае вредоносный софт рассылался из Вьетнама, Индии, Кореи, Китая и Тайваня. После анализа угрозы эксперты установили, что в конфигурации программного обеспечения сделали целями несколько финансовых учреждений Европы. В этот список входит Банк Шотландии, Barclays, Danske Bank и Triodos Bank. В корпорации Microsoft знают о рисках кода макроса и отключили его по умолчанию во всех компонентах Office. Пользователи способны его активировать, но в таком случае их предупредят о возможных рисках данного действия.

Данный вектор атаки известен уже около 10 лет, так что макросы Word и так должны быть отключены по умолчанию у большинства пользователей.