Исследователи ZeroBEC раскрыли сложную фишинговую и вредоносную кампанию, которая эксплуатирует тематику возврата налоговых деклараций (ITR, Income Tax Return) в Индийской налоговой службе для доставки многоступенчатой цепочки заражения на базе AutoIt. Основные цели — организации финансового и технологического секторов. Наибольшую опасность представляют эффективные тактики уклонения, позволившие атаке успешно обходить ведущие Secure Email Gateways (SEG) до тех пор, пока она не была заблокирована ZeroBEC непосредственно на уровне электронной почты. Злоумышленники использовали тщательно проработанные фишинговые письма, имитирующие официальные уведомления о возврате средств ITR...

Атака началась с целевого фишингового письма, которое имитировало подтверждение ставки фрахта. Сообщение направляло жертву на поддельный логистический портал signindat[.]com. С него был загружен пакетный файл, запустивший многоэтапную цепочку заражения. Пакетный файл запустил скрытый процесс PowerShell с обходом политики выполнения. Затем он применил патч к AMSI в оперативной памяти, скачал ElevatorShellCode.exe во временный каталог пользователя и выполнил его без видимого взаимодействия со стороны пользователя. ElevatorShellCode.exe выступал в роли начального загрузчика, а не основного ВПО. Он пытался повысить привилегии с помощью обхода UAC через COM-интерфейс ICMLuaUtil...