Правительственной командой реагирования на компьютерные чрезвычайные события Украины CERT-UA выявлен факт массового распространения электронных писем с тематикой «химической атаки» и ссылкой на XLS-документ с макросом.
В случае открытия документа и активации макроса, последний осуществит загрузку и запуск EXE-файла, что в дальнейшем приведет к поражению компьютера вредоносной программой JesterStealer. Примечательно, что загрузка исполняемых файлов осуществляется со скомпрометированных веб-ресурсов.
«По функционалу упомянутая программа является стиллером, обеспечивающим похищение аутентификационных и других данных из интернет-браузеров, MAIL/FTP/VPN-клиентов, криптовалютных кошельков, менеджеров паролей, мессенджеров, игровых программ и тому подобного. Похищенные данные через статически определенные адреса прокси (в том числе, в сети TOR) передаются злоумышленнику в Telegram, – отмечают CERT-UA. – Также реализован функционал противодействия анализу (anti-VM/debug /sandbox). Механизм обеспечения персистентности отсутствует – после завершения работы программа удаляется».
