Кибершпионы атакуют финансовую отрасль Саудовской Аравии

Кибершпионы атакуют финансовую отрасль Саудовской Аравии

Кибершпионы атакуют финансовую отрасль Саудовской Аравии

Компания Palo Alto Networks сообщает об атаке, предпринятой против финансовых и технологических организаций Саудовской Аравии в мае 2016 года. Неизвестные злоумышленники использовали троян Helminth, который маскирует взаимодействие с командным сервером под запросы DNS.

Специалисты компании полагают, что за атакой стоят те же люди, которые в прошлом атаковали саудовский ВПК.

Троян распространяется методами прицельного фишинга. Выбранные злоумышленниками жертвы получают электронные письма, предлагающие услуги или техническую поддержку. К письмам прилагается таблица Excel с вредоносным макросом, который скачивает и устанавливает Helminth.

Основная версия трояна состоит из двух скриптов: update.vbs, написанного на VBScript, и dns.ps1 для PowerShell. Первый скрипт отправляет на командный сервер запросы HTTP, а затем загружает дополнительные файлы или исполняет присланные команды. Dns.ps1 использует более хитрый метод. Он отправляет командному серверу запросы DNS, переводит присланные IP-адреса в символы и складывает из них новый скрипт. Так продолжается до тех пор, пока сервер не вернёт адрес «35.35.35.35». Это сигнал. Получив его, dns.ps1 прекращает бомбить сервер запросами и запускает результат своей работы, пишет xakep.ru.

Существует и ещё одна версия Helminth. Она действует по тому же принципу и подключается к тем же командным серверам, но представляет собой не скрипт, а полноценное приложение Windows. Именно ему червь обязан своим именем. Исследователи обнаружили, что в отладочной информации исполняемого файла сохранилось название каталога, которое использовал разработчик: E:\Projects\hlm updated\Helminth\Release\Helminth.pdb,

История регистрации доменов, на которых размещены командные серверы, позволяет предположить, что организаторы атаки базируются в Иране.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники, обокравшие продавцов на Авито, отправлены в колонию на 5 лет

Красносельский суд Санкт-Петербурга вынес приговор по делу мошенников, опустошавших счета продавцов на Авито с помощью фишинговых ссылок. Станислав Виеру и Илья Мальков наказаны лишением свободы на 5,5 и 5 лет соответственно.

По версии следствия, Виеру в 2022 году создал ОПГ, в состав которой привлек Малькова. Свою вину в преступном сговоре оба осужденных так и не признали.

Действуя в рамках мошеннической схемы, подельники отыскивали на Авито объявления о продаже товаров (телефонов, электрогитар и проч.), связывались с продавцом и для уточнения деталей предлагали перенести общение в WhatsApp (принадлежит признанной в России экстремистской и запрещённой корпорации Meta).

В ходе переписки мнимый покупатель сообщал, что хочет заказать курьерскую доставку и просил указать имейл, на который можно выслать форму для получения перевода.

Присланная письмом ссылка вела на фишинговую страницу с логотипом и копией формы Авито. Введенные на ней банковские реквизиты попадали к мошенникам и в дальнейшем использовались для отъема денежных средств.

Выявлено 12 пострадавших, у которых украли от 4,6 тыс. до 52 тыс. рублей.

Схема обмана, по которой работали осужденные, напоминает сценарий «Мамонт», в рамках которого мошенники притворялись покупателями. Только Виеру и Мальков действовали проще — не тратили усилия на сбор информации о мишенях, помогающий сыграть роль убедительнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru