Qbot regressa com campanha de phishing que visa a indústria hoteleira

O malware Qbot, também conhecido como QakBot, voltou a ser distribuído em campanhas de phishing, cujo alvo é a indústria de hotelaria, após a botnet ter sido desmantelada pelas autoridades durante o verão.

Em agosto, uma operação multinacional de autoridades policiais, designada Operação Duck Hunt, conseguiu aceder aos servidores de administração do QakBot e mapear a infraestrutura da botnet.

Após obter acesso das chaves de criptografia da botnet utilizadas para a comunicação de malware, o FBI utilizou a botnet para enviar um módulo Windows DLL personalizado para os dispositivos infetados, que executou um comando que encerrava o malware QakBot, desmantelando efetivamente a botnet.

Desde o desmantelando, para além de ter sido observada a atividade de um serviço de phishing utilizado para distribuir o Qbot, não houve distribuição do malware até muito recentemente. 

A Microsoft está a alertar que o QakBot está a ser distribuído novamente numa campanha de phishing, fazendo-se passar por um email de um funcionário do IRS. O ataque foi observado pela primeira vez no dia 11 de dezembro, revela a empresa, numa pequena campanha que visava a indústria da hotelaria.

O email de phishing contém um arquivo PDF anexado que finge ser uma lista de convidados que diz “A visualização do documento não está disponível”, solicitando que o utilizador faça download do ficheiro para o poder visualizar corretamente. Ao clicar no botão de download, o destinatário faz download de um MSI que, quando instalado, lança a DLL do malware Qakbot na memória.

A DLL foi gerada també no dia 11 de dezembro, segundo a Microsoft, que usa o código de campanha ‘tchk06’ e os servidores de comando e controlo em 45.138.74.191:443 e 65.108.218.24:443. “Mais notavelmente, a carga útil do Qakbot entregue foi configurada com a versão 0x500 nunca antes vista”, publicou a Microsoft no X, antigo Twitter.

Os investigadores de cibersegurança Pim Trouerbach e Tommy Madjar confirmaram que a carga útil do Qbot que está a ser distribuída é nova, com algumas pequenas alterações. Trouerbach acredita que a nova versão ainda estará em desenvolvimento, uma vez que contém alguns bugs incomuns.