Nyheter

Kapade mailadresser hos Polisen och SEB installerar NanoCore-trojaner

Cybersäkerhetsföretaget Proofpoint har upptäckt två större bluffutskick där nätkriminella kapat mailadresser från Polisen och SEB för att lura mottagare att installera den så kallade NanoCore-trojanen på deras system.

Säkerhetsexperter på Proofpoint har spårat två NanCore-kampanjer som använder svenska språket och spoofade mailadresser från Polisen och SEB.

I april 2020 upptäcktes ett utskick som utger sig från att komma från svenska polismyndigheten. Som bild 1 visar skickas mailen ut med ”Svenska Polisen” som avsändare – genom den spoofade adressen [email protected]lisen.se. Ämnesraden i utskicket är ”Svensk polisinbjudan” och i mailet står det att läsa: ”Vi hoppas du accepterar detta brev i god tro. Du är inbjuden till Polisens huvudkontor angående en pågående utredning. Granska det bifogade dokumentet för information och kontakta din advokat vid behov”.

I juli upptäcktes ett liknande utskick, som utger sig för att komma från SEB . Bilden nedan visar att mailet skickas med ”SEB Bank” som avsändare och från den spoofade SEB-adressen ”[email protected]”. Ämnesraden är ”inkommande betalningsmeddelande från en tredjepartsbank med texten ”På begäran av den betalande banken. Detta informerar dig om att en betalning har planerats till ditt bankkonto med check. Här är informationen om transtaktionen”.

Därefter följer betalningsuppgifter och en uppmaning om att mottagaren bekräftar att den bifogade informationen är korrekt så att betalningen kan genomföras.

De här mailen skickades ut till hundratals mottagare över en rad olika branscher, bland annat till mäklare och företag verksamma inom tillverknings- och finansindustrin.

Båda utskicken innehåller en bifogad .iso-fil som installerar NanoCore på mottagarens system. NanoCore är en remote access-trojan (RAT), som möjliggör att aktörer helt kan ta kontroll över det infekterade systemet. Det leder till att de kan stjäla data som känsliga filer, finansiella uppgifter och lösenord. NanoCore säljs på forum för 19,99 dollar och uppdateras regelbundet.

–  Sedan i mars i år har Proofpoint identifierat gruppen bakom attackerna. Den går under namnet TA2719 och har specialiserat sig på att skräddarsy NanoCore-utskick på olika språk. Proofpoint skyddar från den här typen av attacker när vi upptäcker att de riktar sig mot våra användare, säger Örjan Westman, Nordenchef på Proofpoint.