Más #Metamorfo aka #Casbaneiro .

'Comprobante Fiscal Digital - U1T1z3X2v1y7A03296427272.html'

- hxxp://enviocfdi.shop/es/?05
- hxxp://191.101.2.27/es1/digital.html
- hxxp://facturacions.northeurope.cloudapp.azure.com/es/index.php?va
- hxxp://sva.gotdns.ch/25/?=
-…

🇲🇽 Están circulando correos electrónicos suplantando la identidad de Banco Azteca, los cuales contienen un archivo en PDF que incluye un link para descargar el troyano bancario 'Casbaneiro'
El PDF supuestamente contiene la info de una transferencia vía SPEI

Some #Metamorfo aka #Casbaneiro Action that I monitored today targeting Mexico 🇲🇽

⛓️Execution Chain:
Phish -> .rar -> .cmd -> .ps1 -> AutoIT -> force shutdown -> autorun persistence leading to execution of #Metamorfo DLL's

BreakDown:

🎣 The Phish - simple and not well crafted…

#Metamorfo aka Casbaneiro fresh IOC
oliga.canadacentral.]cloudapp.]azure.]com/es/index.php?va (CMD Script)
💣raw.githubusercontent.]com/awslg/read/main/settings.md (Powershell Script)
🦠dropbox.]com/scl/fi/7mutwk75o9o7wpgj9mstj/m.zip?rlkey=vfrmtts1hfpgx8zryk4lob4jq&dl=1
Germán Fernández

Bankacılık truva atı Casbaneiro, kripto para hırsızlığı yapıyor

Kripto para çalan truva atı: Casbaneiro

Siber güvenlik kuruluşu ESET, kripto para cüzdanlarını hedefleyen yeni bir truva atını tespit etti. E-posta yoluyla bulaşan Casbaneiro truva atı, kullanıcıları yazılım güncellemesi ya da acil kredi kartı bilgisi talebiyle kandırıyor. …

🚨 Campaña activa de #Metamorfo aka #Casbaneiro dirigida a España y Argentina.

'HA RECIBIDO SU COMPROBANTE FISCAL DIGITAL'
Enviado desde: facturas17@contab[.]tech

Para España 🇪🇸
1.- hxxps://short[.]gy/nkT7dz
2.- hxxp://familysinaloa[.]website/a12/
3.-…

Bankacılık truva atı Casbaneiro, kripto para hırsızlığı yapıyor sosyazete.com/bankacilik-tru…

El loader/1er stage similar en distintos bankers 🇧🇷
Geoip -> HTML Smuggling (Diferentes) -> zip -> msi

🆕Los actores de Mekotio estarían actualizando el panel y el sitio en blanco final

Bankers: Mekotio y Casbaneiro (no estoy seguro la familia de la 2da y 3er imagen)

İnternet bankacılığında Casbaneiro kabusu
İnternet bankacılığı yapanları tehdit eden Casbaneiro turuva atı dünyada hızla yayılıyor. Güncelleme ve sahte bilgi ile internet şube ve kart bilgilerini çalıyor.
paramedya.com.tr/devami/39416/i…

El Laboratorio de Investigación de #ESET identificó una campaña maliciosa que propaga el #troyano bancario #Casbaneiro dirigida a usuarios de #Mexico . Este #malware bancario ha registrado mayor actividad en #Latinoamérica en los últimos años

bit.ly/38l2L9F

#Trojan #Casbaneiro

C2 OneDrive
VBox Guest side-loading

bazaar.abuse.ch/sample/802cdc3…

JAMESWT ESET Research Trend Micro Research Vitali Kremez

Nueva campaña del troyano #Metamorfo aka #Casbaneiro dirigido a México 🇲🇽

email > pdf con link > web con link > zip > cmd > ps1

C2: /172.105.111.154/a1a/10/index.php?AT=jones%20424505%20Microsoft%20Windows%2010%20Pro%20(64)bit&MD=Windows%20Defender

+ joesandbox.com/analysis/993139

#Casbaneiro #TrojanBanker
#IOCs
hxxp://recibopagosmx2022.blob.core.windows.net/containermx01/
Recibo_Pago1710_250SpJmLWiC9vjKr6jnMx1.zip
Recibo_Pago1710_250SpJmLWiC9vjKr6jnMx1[.exe

Ongoing #Casbaneiro banking trojan campaign in Mexico 🇲🇽 distributed via #malspam containing malicious #HTML attachments.

Campaign Timestamp: 1508
HTML: https://vin6[.]icu/1508/1508.html -> https://vin6[.]icu/1508/index.php?va

Bankinter #Trojan #casbaneiro
Campaña troyano bancario.
Tras unos cuantos saltos en los que detectan la cabecera User-Agent, se produce la descarga de fichero de comprimido, el cual tiene un fichero cmd. Este fichero comprimido es descargado desde github.

Bankacılık Truva Atı Casbaneiro, Kripto Para Hırsızlığı Yapıyor
#eset #metaldünyası #prestijyayıncılık
Okumak için tıklayınız: bit.ly/MetalDünyası_E…

تمت ملاحظة الجهات الفاعلة المهددة ذات الدوافع المالية وراء عائلة البرامج الضارة المصرفية Casbaneiro وهي تستخدم تقنية تجاوز التحكم في حساب المستخدم (UAC) للحصول على امتيازات إدارية كاملة على الجهاز
blog.sygnia.co/breaking-down-…
#الأمن_السيبراني

#casbaneiro #MetaMorfo #ponteiro
Url>zip>cmd>url1 url2>zip ps1>dll autoit >
post infection

Urls
urlhaus.abuse.ch/browse/tag/Met…
Samples
bazaar.abuse.ch/browse/tag/Met…

AnyRun
app.any.run/tasks/f14e52db…

Nueva campaña de troyano #Casbaneiro contra empresas🇦🇷

Correo dirige a una URL que descarga un RAR > VBS > Enlace Dropbox con un ZIP > Archivos TXTs que son EXE > Troyano > Ejecución > Shutdown Win

VBS: c9da65c5b4716c7b1a6f4595b84b9147
EXE: 41213f25108050f9c4acf3f43823e73b