Российскую энергетику атакует цепкий шпионский троян Unicorn

Российскую энергетику атакует цепкий шпионский троян Unicorn

Российскую энергетику атакует цепкий шпионский троян Unicorn

В начале текущего месяца защитные решения «Лаборатории Касперского» зафиксировали новые вредоносные рассылки, нацеленные на кражу данных у российских компаний. Анализ выявил неизвестного ранее трояна — шпионскую программу, нареченную Unicorn.

В отличие от собратьев данный зловред не удаляет себя после кражи, а продолжает жить в системе, воруя файлы по мере их появления или обновления — пока его не поймают за руку. Атакам подвергаются энергетические компании, заводы, разработчики и поставщики электронных компонентов.

Вредоносные письма содержат вложение или ссылку на RAR-файл на Яндекс.Диске. Архив содержит файл с двойным расширением .pdf.lnk — ярлык с командой на скачивание и запуск HTA, замаскированного под PDF.

 

При активации HTA выполняется скрипт VBS, который создает на диске update.vbs и upgrade.vbs и прописывает их на автозапуск. Вредонос также генерирует дополнительные ключи реестра (в HKCU\Software\ReaItek\Audio\) с зашифрованным VBS-кодом.

При запуске update.vbs создается папка %USERPROFILE%\AppData\Local\ReaItek, куда копируются файлы из домашнего каталога пользователя (txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip, rar весом менее 50 Мбайт, а также содержимое папки %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata).

Скрипт upgrade.vbs с помощью расшифрованного кода из реестра отправляет добычу на C2-сервер. Чтобы не повторяться, оба VBS создают себе памятку — ids.txt и oids.txt соответственно, куда записываются данные о скопированных / отправленных файлах, а также даты последних изменений этих объектов.

«Особенность этих атак заключается в том, что после кражи данных вредоносные скрипты остаются в системе, — подчеркнул эксперт Kaspersky Олег Купреев. — Вместо того чтобы один раз украсть данные и замести следы, вредоносное ПО продолжает передавать злоумышленникам новые или обновлённые файлы, пока его не обнаружат и не примут меры, что потенциально увеличивает масштаб возможных потерь».

Защитные решения ИБ-компании детектируют нового зловреда с вердиктом Trojan-Spy.VBS.Unicorn.

Мошенники воспользовались ужесточением правил выдачи микрокредитов

Злоумышленники активно используют ужесточение правил выдачи микрокредитов для обмана граждан. По данным платформы «Мошеловка», сейчас в ходу как минимум две схемы, основанные на информационном фоне вокруг новых требований к работе микрофинансовых организаций (МФО).

О распространении подобных схем сообщает РИА Новости.

С 1 марта МФО обязаны подтверждать личность заемщика через Единую биометрическую систему (ЕБС) при оформлении займа онлайн, а крупные организации — и при личном обращении. Кроме того, МФО обязаны передавать в ФинЦЕРТ Банка России сведения о подозрительных клиентах.

Первая схема — модификация старого сценария, известного с 2022 года, связанного с перехватом кодов из СМС. Такие коды используются как второй фактор аутентификации во многих сервисах. Кроме того, их получение может быть первой стадией многоступенчатой атаки, направленной на кражу средств.

Под предлогом защиты жертвы злоумышленники звонят от имени «службы безопасности банка» или «технической поддержки Госуслуг». Они заявляют, что на имя человека якобы пытаются оформить кредит с использованием скомпрометированных биометрических данных, и предлагают «отменить операцию» — для этого нужно продиктовать код из СМС.

Вторая схема рассчитана на тех, кто опасается, что из-за новых правил не сможет получить микрозаем. Мошенники предлагают оформить кредит быстро и «без ЕБС», но требуют оплатить «активацию договора» или «гарантию» — обычно от 500 до 1500 рублей.

RSS: Новости на портале Anti-Malware.ru