Фишинговая кампания выдает себя за консультантов рекрутингового агентства Michael Page, чтобы запустить вредоносное ПО Ursnif, способное собирать учетные и конфиденциальные данные с зараженных компьютеров.

Michael Page - ведущее в мире кадровое агентство, специализирующееся на подборе квалифицированных специалистов и менеджеров на постоянные, временные, контрактные или временные должности. Агентство является частью британского рекрутингового бизнеса PageGroup, ведущего бизнес в Северной и Южной Америке, Великобритании, континентальной Европе, Азиатско-Тихоокеанском регионе и Африке.

«Мы уверены, что ни одна система PageGroup не была взломана», - сообщила материнская компания, подтвердив, что злоумышленники не взломали серверы консультационной службы по найму, а лишь подделывают сотрудников в фишинговых письмах, отправленных случайным жертвам. «Эти фишинговые электронные письма создаются на основе общедоступной информации, не связанной с нашим бизнесом, и затем рассылаются случайным получателям электронной почты», - сообщает PageGroup.

PageGroup призывает тех, кто получил одно из этих фишинговых писем или любое письмо от Michael Page, которое выглядит подозрительно, «не отвечать и не нажимать» ни на одну из встроенных ссылок.

В фишинговых письмах, отправленных в рамках этой кампании, злоумышленники, выдающие себя за хедхантеров Michael Page из Великобритании, заманивают цели на руководящие должности. Эти электронные письма используют встроенные ссылки для перенаправления потенциальных жертв на фишинговые целевые страницы с проверками GeoIP и антиботами. Затем жертв просят загрузить архивы, содержащие вредоносные таблицы Microsoft Excel с поддержкой макросов (XSLM) и имеющие фирменную символику DocuSign, с просьбой разрешить редактору расшифровать и открыть документ. Как только жертвы активируют макросы, им показывают документ с информацией о фальшивой руководящей должности, в то время как полезная нагрузка вредоносного ПО Ursnif загружается и устанавливается на их компьютер в фоновом режиме.

Ursnif  (также известный как Gozi v2.0, Gozi ISFB, ISFB и Pandemyia) - это троян для кражи информации, потомок оригинального банковского трояна Gozi (Gozi CRM), исходный код которого случайно просочился в сеть в 2010 году. С тех пор разработчики вредоносных программ использовали этот код для создания других банковских троянов, таких как  GozNym.

После заражения компьютера Ursnif  начинает записывать нажатия клавиш жертвами, сайты, которые они посещают, собирает содержимое буфера обмена, собирает всю эту информацию в файлы журнала и отправляет обратно на серверы своих операторов.

Используя эту украденную информацию, злоумышленники могут украсть учетные данные своих жертв и другие конфиденциальные данные для дальнейшего взлома их учетных записей или сетей.