Angripere brukte pålitelige verktøy og arbeidsflyter som så legitime ut i to bemerkelsesverdige angrepskjeder i første halvår 2026. Én kampanje spredte skadevare gjennom kompromitterte e-postkontoer tilhørende bedrifter, mens en annen omdirigerte kryptovalutabetalinger ved å erstatte kopierte lommebokadresser.
Kampanjene brukte forskjellig skadevare og infrastruktur. Begge utnyttet imidlertid den samme svakheten: brukerne stolte på handlinger som virket normale, før angriperne i det skjulte endret det som skjedde videre.
Kompromitterte e-postkontoer spredte bankskadevare
Den første kampanjen rettet seg mot personer i Tsjekkia, Slovakia, Polen og Litauen. Angriperne brukte leveringsvarsler, fakturameldinger og lokkemidler med skannede dokumenter for å overtale mottakerne til å åpne skadelige vedlegg.
Flere e-poster kom fra kompromitterte bedriftskontoer. Dette gjorde meldingene mer troverdige fordi de ble sendt gjennom ekte bedriftskontoer med etablert avsenderhistorikk.
Som følge av dette kunne standard e-postbeskyttelse gi begrenset hjelp. SPF- og DKIM-kontroller kan fortsatt godkjennes når angripere sender meldinger gjennom en kontos autoriserte infrastruktur. Omdømmesystemer kan også behandle avsenderen som legitim.
Etter at et offer åpnet vedlegget, startet en JavaScript-dropper infeksjonskjeden. Den kjørte flere PowerShell-stadier før den leverte shellcode og bankskadevare knyttet til GepyS.
Skadevaren endret deretter proxyinnstillinger og installerte en nettleserutvidelse. Disse endringene ga angriperne bedre mulighet til å påvirke offerets nettbankaktivitet.
Hele kjeden gikk fra en kompromittert e-postkonto til en JavaScript-dropper, PowerShell-stadier og en shellcode-loader, og til slutt manipulering av proxyinnstillinger og nettleseren.
Skadevarestadier gjorde analysen tregere
En nyttelast i tredje stadium brukte en 32-bits posisjonsuavhengig loader som var utviklet for å komplisere statisk analyse. Forskerne fant unødvendige MMX- og SSE-instruksjoner, hopp inn i midten av instruksjoner og en dekrypteringsrutine som brukte en LFSR-generert nøkkelstrøm og XOR-operasjoner.
Ingen av disse metodene var nye. Likevel gjorde kombinasjonen rask analyse vanskeligere.
Kampanjen krevde bare at mottakeren åpnet ett vedlegg. JavaScript og PowerShell håndterte deretter de senere stadiene, mens endringene i proxy- og nettleserinnstillinger ga angriperne en måte å gripe inn i nettbankøkter på.
Annen aktivitet i første halvår 2026 fulgte lignende mønstre. I Italia leverte falske fakturaer i PDF-format, inkludert lokkemidler med Booking.com-tema, skript driftet på Vercel, PowerShell-stadier via Blogspot og XWorm. Samtidig brukte polske fakturasvindler en steganografisk .NET-loader for å installere Remcos RAT.
Kryptokaprer erstattet lommebokadresser
Den andre av angrepskjedene i første halvår 2026 fokuserte på kryptovalutabetalinger. Den endelige nyttelasten var en Rust-basert utklippstavlekaprer som overvåket kopiert innhold for lommebokadresser.
Skadevaren støttet 21 blokkjeder, inkludert Bitcoin, Ethereum og Litecoin. Når den oppdaget en støttet adresse, erstattet den denne med et alternativ kontrollert av angriperen.
Ofrene kunne følge sin vanlige betalingsprosess: kopiere en adresse, lime den inn i en lommebok eller på en kryptobørs og deretter godkjenne transaksjonen. Destinasjonen var imidlertid allerede endret før betalingen ble signert.
Selve blokkjeden var ikke kompromittert, og lommebokens kryptografi forble intakt. Transaksjonen var gyldig, men den sendte midlene til feil mottaker.
Lange lommebokadresser er vanskelige å kontrollere visuelt. Mange sammenligner bare de første og siste tegnene, noe som gir angripere mulighet til å bruke adresser som kan se riktige ut ved en rask kontroll.
Smarte kontrakter bidro til å finne C2-infrastruktur
Utklippstavlekapreren brukte også Binance Smart Chain som en del av kommando- og kontrolloppsettet gjennom EtherHiding. I stedet for å lagre hele backend-infrastrukturen på blokkjeden leste skadevaren infrastrukturpekere fra en smartkontrakt.
Disse pekerne ledet skadevaren til domener, URL-er eller IP-adresser kontrollert av angriperne.
Denne tilnærmingen gjorde enkle lister over nettverksindikatorer mindre nyttige. Et domene kan blokkeres eller erstattes, men data i smartkontrakter forblir offentlig tilgjengelige og er vanskeligere å fjerne gjennom vanlige nedtaksprosesser.
Forsvarere bør derfor undersøke kontraktadressen, metoden som brukes til å hente dataene, informasjonen som returneres og infrastrukturen som kontaktes etterpå som én sammenhengende kjede.
Deteksjon må dekke hele arbeidsflyten
Organisasjoner bør korrelere mistenkelig aktivitet etter levering av e-post i stedet for å vurdere hver hendelse separat. Et nedlastet vedlegg som starter JavaScript, PowerShell som henter flere filer, kjøring av shellcode, endringer i proxyinnstillinger og en nyinstallert nettleserutvidelse kan indikere ett koordinert angrep.
En legitim avsenderhistorikk bør ikke redusere prioriteten til mistenkelig aktivitet når en e-postkonto kan ha blitt kompromittert.
Der det er hensiktsmessig, kan organisasjoner begrense skripttolkere, bruke applikasjonskontrollpolicyer på nedlastede vedlegg og overvåke uventede endringer i nettleserutvidelser eller proxyinnstillinger.
For kryptovalutatrusler bør forsvarere se etter prosesser som endrer innholdet på utklippstavlen, matching av lommebokadresser og blokkjedeforespørsler fra programvare som normalt ikke skal gjøre slike forespørsler.
Brukere bør kontrollere hele destinasjonsadressen på enheten der signeringen skjer, umiddelbart før de godkjenner en kryptovalutabetaling. Adressebøker og tillatelseslister kan også redusere risikoen ved manuell inntasting eller kopiering av kjente destinasjoner.
Begge kampanjene viser hvorfor pålitelige e-poster og velkjente betalingstrinn ikke er nok i seg selv. Sikkerhetskontroller må dekke hvert stadium mellom den første meldingen, den kopierte adressen og den endelige godkjenningen.
0 responses to “Angrepskjeder i H1 2026 bruker ekte e-poster og kaprede kryptobetalinger”