Cybercriminals impersonate World Health Organization to distribute fake coronavirus e-book

SOCIAL ENGINEERING


Posted: March 18, 2020 by Threat Intelligence Team


The number of scams, threats, and malware campaigns taking advantage of public concern over the coronavirus is increasing each day. As a result, we’ve been actively monitoring emails within our spam honeypot to flag such threats and make sure our users are protected.

Yesterday, we observed a phishing campaign similar to malspam previously discovered by MalwareHunterTeam, which impersonates the World Health Organization (WHO) and promises the latest on “corona-virus.” Right off the bat, the incorrect use of a hyphen in “coronavirus” in the subject line could tip off users with a critical eye for grammar. However, since WHO are often touted as a trustworthy and authoritative resource, including by our own blog, many will be tempted to open the email.

In this particular campaign, threat actors use a fake e-book as a lure, claiming the “My Health E-book” includes complete research on the global pandemic, as well as guidance on how to protect children and businesses.

The criminals behind this scheme try to trick victims into opening the attachment, contained in a zip file, by offering teaser content within the body of the email, including:


Guidance to protect children and business centre;

This guidance provides critical considerations and practical checklists to keep Kids and business centre safe. It also advises national and local authorities on how to adapt and implement emergency plans for educational facilities.

Critical preparedness, readiness and response actions for COVID-19;

WHO has defined four transmission scenarios for COVID-19. My Health E-book describes the preparedness, readiness and response actions for each transmission scenario.

The email content goes on to tell readers that they can download and access the e-book from Windows computers only.

Instead, as soon as they execute the file inside the MyHealth-Ebook.zip archive, malware will be downloaded onto their computers. As seen in the previous wave of spam, the malicious code is for a downloader called GuLoader.

GuLoader is used to load the real payload, an information-stealing Trojan called FormBook, stored in encoded format on Google Drive. Formbook is one of the most popular info-stealers, thanks to its simplicity and its wide range of capabilities, including swiping content from the Windows clipboard, keylogging, and stealing browser data. Stolen data is sent back to a command and control server maintained by the threat actors.

While the threat actors are improving on the campaign’s sophistication by building reputable-sounding content within the body of the email, a closer examination reveals small grammatical errors, such as:


You are now receiving this email because your life count as everyone lives count.

This combined with other minor formatting and grammar mistakes, as well as a mix-and-match selection of fonts make this clever phishing scheme, upon closer examination, a dud. Still, many have fallen for far more obvious ploys.

With a huge swatch of the population now confined to their homes but working remotely, the risk of infecting a highly-distributed network is increasing. That’s why it’s more important than ever to use a discerning eye when opening work or personal emails, as employee negligence is one of the top indicators for successful cyberattack/data breach.

Malwarebytes home and business customers were already protected against this malspam campaign and its associated payloads.
Indicators of compromise

GuLoaderde1b53282ea75d2d3ec517da813e70bb56362ffb27e4862379903c38a346384d


FormBook URLdrive.google[.]com/uc?export=download&id=1vljQdfYJV76IqjLYwk74NUvaJpYBamtE

Η Microsoft κυκλοφόρησε το Windows Terminal Preview v0.10

Η Microsoft κυκλοφόρησε το Windows
Terminal Preview v0.10

18 Μαρτίου, 2020, 12:24 μμ by Absenta Mia

Η Microsoft κυκλοφόρησε το Windows Terminal Preview v0.10 με νέες δυνατότητες και βελτιώσεις. Αν θέλετε να εγκαταστήσετε το Windοws Terminal, μπορείτε να επισκεφτείτε το Microsoft Store ή να κάνετε λήψη του πακέτου από τη σχετική σελίδα του GitHub.

Πάμε να δούμε τι νέο υπάρχει:

Υποστήριξη χρήσης ποντικιού

Το Windows Terminal υποστηρίζει τώρα την είσοδο του ποντικιού σε εφαρμογές Windows Subsystem για Linux (WSL) καθώς και σε εφαρμογές Windows που χρησιμοποιούν virtual terminal (VT) input. Αυτό σημαίνει ότι εφαρμογές, όπως το tmux και το Midnight Commander θα αναγνωρίζουν τις εντολές, όταν κάνετε κλικ με το ποντίκι σε στοιχεία στο παράθυρο του Terminal!



Ρυθμίσεις

Duplicate Pane


Με τη νέα έκδοση του Windows Terminal, μπορείτε να ανοίξετε ένα νέο παράθυρο (pane) με διπλό προφίλ. Αυτό μπορεί να γίνει με την προσθήκη των εντολών “splitMode“: “duplicate” στη λίστα εντολών του “splitPane” στα key bindings. Αυτό το key binding θα εμφανίσει ένα διπλό προφίλ, αλλά μπορείτε να προσθέσετε και άλλες επιλογές, όπως “commandline”, “index”, “startingDirectory”, and “tabTitle”.

Εάν θέλετε να μάθετε περισσότερες λεπτομέρειες σχετικά με τις επιλογές του key binding, μπορείτε να δείτε αυτό το blog post.

{“keys”: [“ctrl+shift+d”], “command”: {“action”: “splitPane”, “split”: “auto”, “splitMode”: “duplicate”}}



Διορθώσεις σφαλμάτων
Η εμφάνιση του κειμένου είναι σημαντικά καλύτερη, όταν αλλάζει το μέγεθος του παραθύρου!
Τα πλαίσια, όταν χρησιμοποιείτε dark theme, δεν είναι πλέον λευκά!
Η γραμμή εργασιών (που είναι auto-hidden) θα εμφανίζεται τώρα, όταν το ποντίκι βρίσκεται στο κάτω μέρος της οθόνης.
Το Azure Cloud Shell μπορεί τώρα να τρέξει PowerShell, να υποστηρίζει εντολές μέσω ποντικιού και να ακολουθήσει το επιθυμητό shell της επιλογής σας.

Όλα τα παραπάνω μπορείτε να τα βρείτε στο Windows Terminal Preview v0.10.

Η Microsoft δήλωσε ότι οι προγραμματιστές της ασχολούνται με τη διόρθωση κάποιων σφαλμάτων για να προετοιμαστούν για την κυκλοφορία του v1. Το Windows Terminal v1 θα κυκλοφορήσει τον Μάιο.

Η ESET προειδοποιεί για scams που εκμεταλλεύονται το κλίμα ανησυχίας για τον κορωνοϊό

ΚΕΙΜΕΝΟ: FORTUNEGREECE.COM
16/03/2020 18:00






Οι ερευνητές της ESET συγκέντρωσαν μερικές από τις πιο συνηθισμένες μορφές απάτης και τις αναλύει, εφιστώντας την προσοχή στους χρήστες.


Τις ιδιαίτερες συνθήκες που έχει προκαλέσει σε όλον τον πλανήτη η πανδημία του κοροναϊού εκμεταλλεύονται οι κυβερνοεγκληματίες, όπως προειδοποιεί σχετικά η ESET. Η παγκόσμια ανησυχία, οι ευπαθείς ομάδες που διατρέχουν τον υψηλότερο κίνδυνο, η υπερβολική ζήτηση για αγαθά που δεν είναι πλέον σε απόθεμα και η παραπληροφόρηση στα μέσα κοινωνικής δικτύωσης – όλα αυτά ισοδυναμούν με μια τεράστια ευκαιρία για τους απατεώνες του διαδικτύου. Οι ερευνητές της ESET συγκέντρωσαν μερικές από τις πιο συνηθισμένες μορφές απάτης και τις αναλύει, εφιστώντας την προσοχή στους χρήστες.

Κακόβουλα νέα

Οι απατεώνες προσποιούνται ότι στέλνουν σημαντικές πληροφορίες από έγκυρους φορείς, όπως τον Π.Ο.Υ. (Εικ.1) ή από αξιόπιστους δημοσιογραφικούς οργανισμούς, όπως τη Wall Street Journal (Εικ.2), με στόχο να ξεγελάσουν τα πιθανά θύματα να κάνουν κλικ σε κακόβουλα link. Συνήθως, τέτοιοι σύνδεσμοι μπορούν να εγκαταστήσουν κακόβουλο λογισμικό, να κλέψουν προσωπικές πληροφορίες ή να επιχειρήσουν να αποσπάσουν διαπιστευτήρια σύνδεσης και κωδικούς πρόσβασης.

Εκμετάλλευση της φιλανθρωπίας


Σε αυτή τη μορφή scam, οι κυβερνοεγκληματίες προσπαθούν να πείσουν το θύμα να βοηθήσει στη χρηματοδότηση εμβολίου για τα παιδιά στην Κίνα. Καθώς αυτή τη στιγμή εμβόλιο δεν υπάρχει, οι χρήστες τελικά καταλήγουν να στέλνουν bitcoin στα πορτοφόλια των απατεώνων. Η τεχνική είναι αποτελεσματική μόνο σε ένα πολύ μικρό ποσοστό χρηστών, αποκτά όμως σεβαστό μέγεθος αν αναλογιστεί κανείς ότι γίνεται σε παγκόσμια κλίμακα.

Μάσκες

Σε έναν άλλο τύπο απάτης, οι κυβερνοεγκληματίες στέλνουν spam email (Εικ.3) θέλοντας να ξεγελάσουν τα θύματα ότι μπορούν να παραγγείλουν μάσκες που θα τους κρατήσουν ασφαλείς από τον κοροναϊό. Στην πραγματικότητα, τα θύματα καταλήγουν να αποκαλύπτουν, χωρίς να το θέλουν, ευαίσθητα προσωπικά και οικονομικά δεδομένα. 

Σύμφωνα με το Sky News, οι απατεώνες πωλητές μασκών απέσπασαν 800.000 λίρες Αγγλίας (1 εκατομμύριο δολάρια) από χρήστες στο Ηνωμένο Βασίλειο, μόνο τον Φεβρουάριο.

Η ESET συμβουλεύει τους χρήστες να έχουν το νου τους σχετικά με αυτές και αντίστοιχες απάτες και να είναι ιδιαίτερα προσεκτικοί, εφαρμόζοντας τις παρακάτω οδηγίες:

Αποφύγετε να κάνετε κλικ σε συνδέσμους ή να κάνετε λήψη συνημμένων σε ανεπιθύμητα μηνύματα/κείμενα από άγνωστες πηγές ή ακόμα και από αξιόπιστες πηγές, παρά μόνο αν είστε απολύτως βέβαιοι ότι το μήνυμα είναι αυθεντικό.

Αγνοήστε τις επικοινωνίες που ζητούν τα προσωπικά σας στοιχεία. Αν κρίνετε ότι είναι απαραίτητο να τα δώσετε, φροντίστε πρώτα να ελέγξετε την αυθεντικότητα του αποστολέα, χρησιμοποιώντας ένα διαφορετικό μέσο από το ίδιο το email (π.χ. αναζήτηση στο διαδίκτυο).

Προσέξτε ιδιαίτερα τα email που έχουν σήμανση «επείγον» ή «προσοχή» και σας παροτρύνουν να λάβετε άμεσα μέτρα ή προσφέρουν εμβόλια ή θεραπείες για τον COVID-19.

Προσέξτε για φιλανθρωπικές καμπάνιες ή εκστρατείες crowdfunding που μπορεί να είναι απάτες.

Χρησιμοποιήστε αξιόπιστο λογισμικό με πολλαπλά επίπεδα ασφάλειας, που διαθέτει προστασία από το ηλεκτρονικό «ψάρεμα» (phising)

Ransomware Gangs to Stop Attacking Health Orgs During Pandemic

By Lawrence Abrams March 18, 2020 06:36 PM 0






Some Ransomware operators have stated that they will no longer target health and medical organizations during the Coronavirus (COVID-19) pandemic.

Last night, BleepingComputer reached out to the operators of the Maze, DoppelPaymer, Ryuk, Sodinokibi/REvil, PwndLocker, and Ako Ransomware infections to ask if they would continue targeting health and medical organizations during the outbreak.
DoppelPaymer Ransomware

DoppelPaymer was the first to respond and stated that they do not normally target hospitals or nursing homes and will continue this approach during the pandemic.


"We always try to avoid hospitals, nursing homes, if it's some local gov - we always do not touch 911 (only occasionally is possible or due to missconfig in their network) . Not only now.

If we do it by mistake - we'll decrypt for free. But some companies usually try to represent themselves as something other: we have development company that tried to be small real estate, had another company that tried to be dog shelter ) So if this happens we'll do double, triple check before releasing decrypt for free to such a things. But about pharma - they earns lot of extra on panic nowdays, we have no any wish to support them. While doctors do something, those guys earns."

When asked what happens if a medical organization gets encrypted, we were told that a victim should contact them on their email or Tor webpage to provide proof and get a decryptor.
Maze Ransomware

Today, the Maze operators responded to my questions by posting a "Press Release" that also states that they will stop all "activity" against all kinds of medical organizations until the end of the pandemic.


"We also stop all activity versus all kinds of medical organizations until the stabilization of the situation with virus."

We have not received a reply as to whether a free decryptor would be provided if a healthcare organization mistakenly gets encrypted.
Security companies offer free help

For now, if any organizations get encrypted, both Emsisoft and Coveware announced today that they would be offering their ransomware services for free to healthcare organizations during the pandemic.

This includes the following:
Technical analysis of the ransomware.
Development of a decryption tool whenever possible.
As a last resort ransom negotiation, transaction handling and recovery assistance, including replacement of the decryption tool supplied by the criminals with a custom tool that will recover data faster and with less chance of data loss.

While this help is greatly appreciated, I hope other ransomware operators will stop targeting healthcare organizations after reading this article so that it is not needed.

As this is a global epidemic, anyone could become sick with this virus, including the ransomware operator's loved ones.

Right now healthcare workers need to focus on helping people, not decrypting their files.

EMSISOFT Free ransomware help for healthcare providers during the Coronavirus outbreak

As hospitals around the world struggle to respond to the COVID-19 crisis, ransomware presents a serious risk to their ability to provide urgent care are to the critically ill. In 2019, at least 764 healthcare providers were impacted by ransomware. 

Without a global pandemic, a ransomware attack on a critical care facility can cause grave danger to patients. With COVID-19, a ransomware attack on an overwhelmed hospital could tip the balance and result in a significant loss of life.
We’re here to help

In partnership with incident response company Coveware, we will be offering completely free help to critical care hospitals and other healthcare providers that are on the front lines of COVID-19 and have been impacted by ransomware. Subject to our own capacity, we aim to provide this service for the duration of the crisis to healthcare providers anywhere in the world.

The services offered will include:
Technical analysis of the ransomware.
Development of a decryption tool whenever possible.
As a last resort ransom negotiation, transaction handling and recovery assistance, including replacement of the decryption tool supplied by the criminals with a custom tool that will recover data faster and with less chance of data loss.

Our aim? Get affected healthcare providers operational in the shortest time possible so they can minimize disruption to patient care.

If you are a healthcare service provider that has experienced an attack, get in touch.
Ransomware attacks are likely to spike in the coming weeks

Ransomware has a seasonal aspect with the number of incidents spiking during the spring and the summer months.


Chart based on our data plus data from EPSRC EMPHASIS Ransomware Project

Whether these spikes are due to increases in the number of attacks or organizations being more susceptible to attacks at certain times of year is not clear. However, in either case, it is likely that there will be an increase in the number of healthcare providers impacted by ransomware in the coming months and, unfortunately, this increase may coincide with the peak of the COVID-19 outbreak. Further, the spikes may be more pronounced than in previous years due to security weaknesses resulting from hastily introduced work-from-home arrangements, personal device usage and staffing shortages.

In short, we may be looking at a near-perfect storm in which healthcare providers are disrupted at the very time they are needed the most.
A note to ransomware groups

While we will never condone criminal behavior, we understand why financially motivated cybercrime exists. We also know you are humans, and that your own family and loved ones may find themselves in need of urgent medical care. Make no mistake, an attack on a healthcare organization will have negative outcomes and may result in the loss of life. We ask for your empathy and cooperation. Please do not target healthcare providers during the coming months and, if you target one unintentionally, please provide them with the decryption key at no cost as soon as you possibly can. We’re all in this together, right?
A note to security companies and professionals

Got expertise? Got some free time? Willing to assist with this initiative? Shoot us an email at volunteer@emsisoft.com. We’d love your help.
A note to other organizations that may be affected by ransomware during these trying times

It breaks our hearts not to be able to extend a helping hand to everyone. We are all in the same boat together. Our priority at this time is to ensure we have the capacity to assist the healthcare organizations helping save the lives of COVID-19 patients. If we find the capacity to extend this offer to other industries, we will update this post and provide further guidance. Until then, please hunker down and stay safe.