Пользователи заражаются через почту, фишинговые страницы, вредоносные вложения. После установки на целевом устройстве вредоносная программа начинает работать с жестко закодированному (хардкодинг) списку объектов, в основном местных (Испания, Бразилия) банков. После запуска, малварь устанавливает шифрованный коннект с командным сервером…
В чем “яркое” отличие - малварь ставит в браузер (Chrome) дополнение (заменяя легитимное на фиктивное, имя расширения - EditThisCookie), далее создается новый ярлык для запуска браузера с подгрузкой “обновленного” дополнения (малварное дополнение подгружается только по данному ярлыку)…
Суть - хищение банковских данных пользователей. Почему это еще может быть интересным, потому-что “это” может быть в будущем не только в вышеуказанных странах и превентить это уже надо сейчас 🙂
Четко-таргетированная атака на банки Бразилии, Испании:
https://securityintelligence.com/posts/grandoreiro-malware-now-targeting-banks-in-spain/