Säkerhetsexperter på Proofpoint har spårat två NanoCore-kampanjer som använder svenska språket och spoofade mailadresser från Polisen och SEB.
I april 2020 upptäcktes ett utskick som utger sig från att komma från svenska polismyndigheten. De mail som såg ut att komma från polisen kom genom den spoofade adressen invitation@polisen.se. Ämnesraden i utskicket är ”Svensk polisinbjudan” och i mailet står det att läsa: ”Vi hoppas du accepterar detta brev i god tro. Du är inbjuden till Polisens huvudkontor angående en pågående utredning. Granska det bifogade dokumentet för information och kontakta din advokat vid behov”.
I juli upptäcktes ett liknande utskick, som utger sig för att komma från SEB . Mailet skickas med ”SEB Bank” som avsändare och från den spoofade SEB-adressen ”nofifications@seb.se”. Ämnesraden är ”inkommande betalningsmeddelande från en tredjepartsbank med texten ”På begäran av den betalande banken. Detta informerar dig om att en betalning har planerats till ditt bankkonto med check. Här är informationen om transtaktionen”. Därefter följer betalningsuppgifter och en uppmaning om att mottagaren bekräftar att den bifogade informationen är korrekt så att betalningen kan genomföras
Teckna din prenumeration på Aktuell Säkerhet här
Mailen skickades ut till hundratals mottagare över en rad olika branscher, bland annat till mäklare och företag verksamma inom tillverknings- och finansindustrin, skriver Proofpoint i ett pressmeddelande.
Båda utskicken innehåller en bifogad .iso-fil som installerar NanoCore på mottagarens system. NanoCore är en remote access-trojan (RAT), som möjliggör att aktörer helt kan ta kontroll över det infekterade systemet. Det leder till att de kan stjäla data som känsliga filer, finansiella uppgifter och lösenord. NanoCore säljs på forum för 19,99 dollar och uppdateras regelbundet.
– Sedan i mars i år har Proofpoint identifierat gruppen bakom attackerna. Den går under namnet TA2719 och har specialiserat sig på att skräddarsy NanoCore-utskick på olika språk. Proofpoint skyddar från den här typen av attacker när vi upptäcker att de riktar sig mot våra användare, säger Örjan Westman, Nordenchef på Proofpoint.
