Liczba użytkowników atakowanych trojanem bankowym QakBot wzrosła w pierwszych siedmiu miesiącach 2021 r. o 65% (do niemal 17,5 tysiąca) w porównaniu z analogicznym okresem w ubiegłym roku. Ten wzrost aktywności skłonił badaczy z firmy Kaspersky do przeanalizowania zmian w nowych wersjach tego szkodliwego programu.
Po udanym zainfekowaniu urządzenia trojany bankowe pozwalają cyberprzestępcom kraść pieniądze z kont i e-portfeli ofiary i z tego powodu są uważane za jedne z najniebezpieczniejszych szkodliwych programów. QakBot został wykryty już w 2007 r. jako jeden z wielu trojanów bankowych, które się wówczas pojawiły. Jednak od tego czasu twórcy QakBota zainwestowali wiele zasobów w jego rozwój, czyniąc go jednym z najpotężniejszych i najniebezpieczniejszych szkodliwych narzędzi tego typu.
Poza funkcjami typowymi dla trojanów bankowych, takich jak przechwytywanie znaków wprowadzanych z klawiatury, kradzież ciasteczek z przeglądarek czy przechwytywanie loginów i haseł, nowe wersje QakBota zostały wyposażone m.in. w technologie pozwalające na wykrywanie, czy został on uruchomiony w środowisku wirtualnym. Tego typu środowiska są często wykorzystywane przez specjalistów ds. rozwiązań bezpieczeństwa i badaczy cyberzagrożeń w celu identyfikowania niebezpiecznych programów na podstawie ich zachowania. Jeżeli nowa wersja QakBota wykryje, że została uruchomiona w środowisku wirtualnym, może wyłączyć szkodliwe funkcje lub całkowicie wstrzymać swoje działanie. Ponadto QakBot stosuje także inne techniki chroniące go przed wykryciem i analizą.
Badacze z firmy Kaspersky wykryli jeszcze jedną nową, nietypową dla trojanów bankowych, funkcję QakBota – może on kraść e-maile z zainfekowanych maszyn. Skradzione wiadomości są następnie wykorzystywane w działaniach socjotechnicznych wycelowanych w osoby z listy kontaktów ofiary.
Nic nie wskazuje na to, by osoby stojące za QakBotem miały w najbliższej przyszłości zaprzestać swojej aktywności. Szkodnik nieustannie otrzymuje uaktualnienia i nowe możliwości w celu maksymalizacji zysków i pozyskiwania rozmaitych informacji z maszyn ofiar. Wcześniej śledziliśmy ataki QakBota realizowane z użyciem botnetu Emotet, który został pomyślnie zlikwidowany na początku bieżącego roku w ramach wspólnych działań badaczy i organów ścigania. Jednak obserwowany wzrost infekcji w ostatnich miesiącach pokazuje, że twórcy QakBota znaleźli nowy, efektywny sposób na dostarczanie swojego szkodliwego oprogramowania do kolejnych ofiar – powiedział Haim Zigel, analityk szkodliwego oprogramowania w firmie Kaspersky.