新的 QBot 银行木马活动劫持企业电子邮件以传播恶意软件

卡巴斯基的新发现显示，一项新的 QBot 恶意软件活动正在利用被劫持的商业信函诱骗毫无戒心的受害者安装恶意软件。

最新活动于2023年4月4日开始，主要针对德国、阿根廷、意大利、阿尔及利亚、西班牙、美国、俄罗斯、法国、英国和摩洛哥的用户。

QBot（又名 Qakbot 或 Pinkslipbot）是一种银行木马，已知至少从 2007 年开始活跃。除了从 Web 浏览器窃取密码和 cookie 外，它还兼作后门以注入下一阶段的有效负载，例如 Cobalt Strike 或勒索软件。

攻击者通过伪装成 Microsoft Office 365 或 Microsoft Azure 警报的封闭 PDF 文件，诱骗受害者点击文件。

打开文档会导致从受感染网站检索存档文件，而该网站又包含经过混淆处理的 Windows 脚本文件 (.WSF)。该脚本本身包含一个 PowerShell 脚本，可从远程服务器下载恶意 DLL。下载的 DLL 正是 QBot 恶意软件。