Хакери използват фалшиви имейли с разписки за плащане, за да доставят 750 MB троянски кон за отдалечен достъп (Lampion RAT) на целеви обекти в Португалия.
Кампанията разчита на познат финансов език, убедителни бизнес детайли и изключително големи по размер файлове, предназначени да забавят анализа и да избегнат проверките за сигурност.
Атаката започва с фишинг имейли, които се представят за рутинни финансови или административни съобщения.
Получателите са подтиквани да отворят ZIP прикачен файл, който изглежда съдържа разписка за плащане, превръщайки обикновена бизнес задача в първата стъпка от заразяване със злонамерен код.
След анализ на втория етап от атаката, специалисти от Acronis идентифицираха активността като нова кампания на Lampion, силно фокусирана върху португалски потребители.
Изследователите установиха, че 94,6% от откриванията са в Португалия, което показва, че операторите продължават да приспособяват своите примамки, език и брандиране към конкретна аудитория.
Lampion е бразилска фамилия банкови вируси, документирана за първи път през 2019 г. и свързана с линията ChePro.
Въпреки че произхожда от Бразилия, неговите автори многократно са се насочвали към португалскоговорящи жертви, използвайки локализирани измами, за да направят зловредните съобщения да изглеждат по-достоверни.
Последната активност показва как по-старите банкови вируси могат да останат ефективни, когато атакуващите подобрят процеса на доставка.
Вместо да поставят всичко в един файл, киберпрестъпниците разпределят инфекцията на няколко етапа, което затруднява потребителите и екипите по сигурността да видят пълната верига на атаката.
В доклад на Acronis, споделен с Cyber Security News (CSN), се посочва, че кампанията използва ZIP архиви, запълнени с празни данни HTML файлове, JavaScript и няколко етапа с Visual Basic Script, преди да разгърне финалния зловреден код.
Този подход прилича на развиващите се тактики, наблюдавани при кампанията за атаки Lampion ClickFix, където атакуващите също използваха социално инженерство и многослойни скриптове за избягване на откриването.
Фишинг съобщението използва разписка за плащане като основна примамка, тъй като темата е позната и спешна. То включва маркери за достоверност, като известия за поверителност, автоматичен текст на пощенската кутия, бизнес адреси и препратки към социални медии, за да се слее имейлът с нормалната корпоративна комуникация.
Един от наблюдаваните ZIP прикачени файлове е именуван „COMPROVATIVO-JUNHO_OJLWnObxFOyTZkx_01-06-2026_104.zip“.
Вътре има HTML документ с размер около 1,3 MB, запълнен с безсмислен код и произволни низове – тактика, целяща да направи файла по-труден за инспектиране и с по-малка вероятност да съвпадне с общите сигнатури за откриване.
Когато бъде отворен, HTML файлът показва фалшива страница за трансфер SAPO, която имитира доверена португалска онлайн услуга.
Визуалният трик има за цел да успокои жертвите, докато скрит JavaScript извлича следващия етап на зловредния софтуер във фонов режим.
Изтегленият JavaScript се вмъква в страницата и се изпълнява без очевидни предупредителни знаци. Този многослоен процес показва защо организациите трябва да се отнасят внимателно към неочаквани прикачени файлове, особено съобщения, които създават натиск около фактури, разписки и финансови потвърждения.
След това киберпрестъпниците разгръщат VBS файлове с имена, които продължават темата за платежните документи, включително „Comprovativo_Junho_15-06-2026-WjGAxGL.vbs“.
Свързаните заплахи използват подобна измама с прикачени файлове, както се съобщава в прегледите на обичайните вектори за фишинг атаки, където злонамерените файлове остават често срещан път в корпоративните мрежи.
Тези VBS скриптове също са запълнени с излишни данни. Един анализиран файл е с размер около 7 MB, въпреки че съдържа само около 22 KB полезен код, което демонстрира как изкуственото увеличаване на размера на файла може да прикрие злонамереното поведение, като същевременно усложнява автоматичния и ръчния преглед.
Последният VBS компонент извършва проверки на жертвата, събира системна информация и се свързва с командно-контролната инфраструктура за следващия зловреден код. Той може да създава планирани задачи, да премахва конкурентни VBS файлове от временната папка и да генерира уникален идентификатор от системните данни.
Зловредният софтуер изтегля DLL библиотека в папка, именувана с времево клеймо, намираща се в директорията AppData на потребителя. Използват се HTTP заявки за обхват (range requests), за да се извлече файлът на части от по 10 MB, след което той се сглобява локално, преди да се планира изпълнението му чрез „rundll32“.
Крайният DLL файл е около 750 MB, но размерът му не отразява реална сложност. Изследователите отдават голяма част от него на запълване с ненужни данни – отдавна използвана тактика на Lampion, която прави зловредния код по-труден за сканиране, прехвърляне и анализ.
След като стартира, DLL файлът използва експортирана функция с име „jangadeiro“ и действа като основен троянски кон за отдалечен достъп. Той може да даде на атакуващите достъп до компрометираната система и да подпомогне кражбата на данни, създавайки риск както за отделни лица, така и за организации.
Тази кампания също се вписва в по-широк модел на зловреден софтуер, насочен към европейски банкови потребители чрез локализирани примамки. Скорошни доклади за фишинг атаки с PDF файлове на Ousaban показват, че атакуващите все още комбинират фалшиви финансови документи със скриптове и поетапни злонамерени кодове, за да достигнат до жертви в Португалия и Испания.
Защитниците трябва да разследват необичайно големи DLL файлове в AppData, особено тези, съхранявани в директории с имена с времеви клейма.