Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie phishingowe oparte na wieloetapowych łańcuchach infekcji pozostają jedną z najskuteczniejszych metod dystrybucji trojanów bankowych. Najnowsza aktywność związana z rodziną Casbaneiro pokazuje, że cyberprzestępcy konsekwentnie rozwijają swoje techniki, łącząc socjotechnikę z mechanizmami utrudniającymi analizę i wykrywanie zagrożeń.
W opisywanej kampanii atakujący wykorzystują spreparowane wiadomości e-mail, archiwa ZIP, skrypty VBS i HTA oraz dynamicznie generowane, zabezpieczone hasłem dokumenty PDF. Taki model działania zwiększa wiarygodność przynęty, utrudnia detekcję opartą na sygnaturach i poprawia skuteczność infekcji zarówno w środowiskach firmowych, jak i u użytkowników indywidualnych.
W skrócie
Kampania jest wymierzona głównie w hiszpańskojęzyczne organizacje i użytkowników w Ameryce Łacińskiej oraz Europie. Atak rozpoczyna się od wiadomości phishingowej podszywającej się pod wezwanie sądowe, do której dołączony jest chroniony hasłem plik PDF.
Dokument zawiera odnośnik prowadzący do pobrania archiwum ZIP, z którego uruchamiane są kolejne komponenty infekcji. Ostatecznie na urządzeniu ofiary instalowany jest trojan bankowy Casbaneiro, a dodatkowo wykorzystywany jest Horabot, odpowiedzialny za przejmowanie kont pocztowych i dalsze rozprzestrzenianie złośliwych wiadomości.
- Phishing podszywa się pod korespondencję prawną lub sądową.
- Łańcuch infekcji obejmuje PDF, ZIP, HTA, VBS i komponenty AutoIt.
- Casbaneiro pełni rolę głównego trojana bankowego.
- Horabot wspiera propagację i nadużycia na skrzynkach e-mail.
- Dynamicznie generowane PDF-y utrudniają blokowanie kampanii.
Kontekst / historia
Casbaneiro, znany także jako Metamorfo, od lat jest kojarzony z działalnością cyberprzestępczą wymierzoną przede wszystkim w użytkowników z Ameryki Łacińskiej. Malware został zaprojektowany z myślą o kradzieży danych finansowych, przechwytywaniu poświadczeń i wykonywaniu dodatkowych operacji na zainfekowanych systemach Windows.
Aktualna kampania jest łączona z grupą cyberprzestępczą powiązaną z Brazylią, śledzoną pod nazwami Augmented Marauder oraz Water Saci. Grupa była wcześniej wiązana z wykorzystywaniem platform komunikacyjnych i legalnych usług do dystrybucji złośliwego oprogramowania oraz z działaniami przypominającymi mechanizmy robaków rozsyłających się przez przejęte konta.
Najnowsza odsłona operacji wskazuje na wyraźny wzrost dojrzałości technicznej. Atakujący nie ograniczają się już do pojedynczego ładunku malware, ale budują spójny ekosystem obejmujący phishing, przejęcia skrzynek pocztowych, automatyczną propagację i dynamiczne generowanie przynęt dostosowanych do odbiorcy lub regionu.
Analiza techniczna
Atak rozpoczyna się od wiadomości e-mail stylizowanej na pilną korespondencję prawną. Tego typu przynęty wykorzystują autorytet instytucji i presję czasu, co zwiększa prawdopodobieństwo otwarcia załącznika przez ofiarę. Sam plik PDF jest zabezpieczony hasłem, co może ograniczać skuteczność części systemów automatycznej inspekcji treści.
Po otwarciu dokumentu użytkownik trafia do złośliwego odnośnika, który inicjuje pobranie archiwum ZIP. W kolejnych etapach uruchamiane są komponenty HTA oraz skrypty VBS odpowiedzialne za wykonanie wstępnych działań na systemie, w tym kontroli środowiska oraz prób obejścia analizy bezpieczeństwa.
Następnie wykorzystywane są loadery bazujące na AutoIt, które rozpakowują i uruchamiają zaszyfrowane pliki zapisane pod nietypowymi rozszerzeniami. Finalnie aktywowane są dwa główne komponenty złośliwego łańcucha:
- Casbaneiro jako trojan bankowy odpowiedzialny za komunikację z infrastrukturą C2 i dalsze pobieranie poleceń lub modułów.
- Horabot jako narzędzie wspierające przejmowanie skrzynek e-mail i rozsyłanie kolejnych wiadomości phishingowych.
W praktyce Horabot wykorzystuje dane i kontakty z Microsoft Outlook, aby wysyłać nowe wiadomości z poziomu przejętego konta ofiary. To znacząco zwiększa skuteczność kampanii, ponieważ kolejne wiadomości pochodzą z legalnego i zaufanego adresu e-mail.
Najbardziej charakterystycznym elementem tej kampanii jest jednak dynamiczne generowanie plików PDF po stronie serwera. Zamiast używać jednego statycznego dokumentu, zainfekowany host komunikuje się ze zdalnym API, przekazując losowo wygenerowany kod PIN. Na tej podstawie serwer tworzy unikalny, chroniony hasłem dokument udający hiszpańskojęzyczne wezwanie sądowe.
Taki mechanizm daje operatorom kilka istotnych korzyści:
- umożliwia tworzenie dużej liczby unikalnych przynęt,
- ogranicza skuteczność detekcji opartych na hashach i sygnaturach,
- ułatwia personalizację kampanii pod konkretny region lub odbiorcę,
- utrudnia analizę retroaktywną i blokowanie reputacyjne.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią jest wysokie zarówno dla organizacji, jak i użytkowników końcowych. Casbaneiro koncentruje się na przejmowaniu danych uwierzytelniających i aktywności finansowej, natomiast Horabot rozszerza skalę zagrożenia, umożliwiając dalszą dystrybucję phishingu z legalnych kont pocztowych.
Dla firm oznacza to nie tylko możliwość utraty danych dostępowych, ale także naruszenie zaufania do komunikacji e-mail i wzrost ryzyka oszustw finansowych. W skrajnych przypadkach przejęte skrzynki mogą zostać użyte do dalszych kampanii przeciw partnerom, klientom i pracownikom, co zwiększa zasięg incydentu.
- kradzież danych logowania do poczty i usług finansowych,
- przejęcie skrzynek e-mail i wykorzystanie ich do dalszych ataków,
- rozprzestrzenianie phishingu w relacjach biznesowych,
- ryzyko strat finansowych i incydentów typu BEC,
- spadek skuteczności pojedynczych mechanizmów ochronnych.
Od strony technicznej niebezpieczne jest połączenie kilku metod unikania detekcji: dokumentów chronionych hasłem, wieloetapowych loaderów, skryptów systemowych oraz dynamicznie generowanej zawartości. Taki model wymusza korelację zdarzeń na wielu poziomach infrastruktury bezpieczeństwa.
Rekomendacje
Obrona przed taką kampanią wymaga podejścia wielowarstwowego, obejmującego zarówno ochronę poczty, jak i kontrolę wykonywania skryptów oraz monitorowanie zachowania stacji roboczych. Szczególną uwagę należy poświęcić załącznikom archiwalnym, dokumentom chronionym hasłem oraz nietypowym łańcuchom uruchomień procesów.
- blokować lub ściśle ograniczać uruchamianie plików HTA, VBS oraz nieautoryzowanych skryptów PowerShell,
- monitorować procesy potomne uruchamiane przez klienty pocztowe i eksplorator plików,
- wykrywać łańcuchy infekcji typu PDF → link → ZIP → HTA/VBS → AutoIt → DLL,
- wdrożyć MFA dla skrzynek pocztowych i monitorować anomalie logowań,
- analizować pocztę wychodzącą pod kątem masowej wysyłki i nietypowych załączników,
- stosować EDR lub XDR z regułami obejmującymi HTA, AutoIt i skrypty systemowe,
- ograniczać możliwość pobierania treści z internetu przez interpretery skryptowe,
- segmentować systemy finansowe i uprzywilejowane stacje robocze.
Ważnym elementem pozostaje także edukacja użytkowników. Personel powinien być szkolony w zakresie rozpoznawania wiadomości wykorzystujących motywy prawne, urzędowe wezwania i presję czasu. Dodatkowym sygnałem ostrzegawczym powinny być dokumenty chronione hasłem oraz wiadomości wymagające pobrania kolejnych plików.
Zespoły SOC i IR powinny przygotować procedury obejmujące szybki reset haseł do poczty, analizę historii wysyłki, przegląd reguł skrzynek, identyfikację kontaktów, do których rozesłano phishing, a także blokowanie powiązanej infrastruktury C2 i domen wykorzystywanych do generowania przynęt.
Podsumowanie
Najnowsza kampania z użyciem Casbaneiro pokazuje, że współczesny phishing coraz częściej łączy zaawansowaną socjotechnikę z automatyzacją i modułowym malware. Szczególnie groźne jest tu zestawienie dynamicznie generowanych, chronionych hasłem plików PDF z mechanizmami przejmowania kont pocztowych i dalszego rozsyłania wiadomości.
Dla organizacji oznacza to konieczność ochrony nie tylko przed samym załącznikiem, ale przed całym łańcuchem ataku — od wiadomości e-mail i kliknięcia w link, po wykonanie skryptów, komunikację z serwerami C2 i nadużycia na legalnych kontach użytkowników. Skuteczna obrona wymaga zatem widoczności, analizy behawioralnej i szybkiej reakcji operacyjnej.
Źródła
- The Hacker News — Casbaneiro Phishing Targets Latin America and Europe Using Dynamic PDF Lures
- BlueVoyant — Technical breakdown of the Casbaneiro and Horabot phishing activity
- Trend Micro — Research on Augmented Marauder / Water Saci activity
- Kaspersky Securelist — Analysis of recent Casbaneiro delivery techniques