Документы Word используются для атак международных гуманитарных движений

Документы Word используются для атак международных гуманитарных движений

Документы Word используются для атак международных гуманитарных движений

Недавно обнаруженная операция кибершпионажа на национальном уровне направлена на организации гуманитарной помощи по всему миру. Злоумышленники используют бэкдоры, скрытые во вредоносных документах Word.

Вредоносная кампания получила имя Honeybee из-за названия документов-приманок, используемых в атаках. Honeybee обнаружили исследователи антивирусной компании McAfee, также они идентифицировали вредоносную программу, используемую в атаках и распространяемую с помощью фишинговых писем — бэкдор Syscon.

Эксперты утверждают, что это модифицированная версия оригинального Syscon, впервые обнаруженного в августе. Этот бэкдор позволяет шпионить за пользователем зараженной машины, а также красть данные.

Syscon использует FTP-сервер в качестве командного центра, некоторые специалисты связывают этот бэкдор с другими вредоносными кампаниями, которые приписывают Северной Корее.

Обнаруженная McAfee вредоносная кампания стартовала в январе, зловред доставляется с помощью документов Word, имя автора которых значится как «Honeybee».

Вредоносный документ содержит макрос Visual Basic, при активации которого на компьютер устанавливается Syscon. Злонамеренное содержимое скрывается в закодированных данных Visual Basic Script.

Некоторые из вредоносных писем рассылались под темой «Международное движение Красного Креста и Красного Полумесяца — Офис КНДР», именно они участвовали в распространении бэкдора.

Уловки, используемые злоумышленниками в Honeybee, банальны — жертве предлагается разрешить выполнение содержимого для открытия документа. Если пользователь соглашается, запускается вредоносный макрос.

«Вредоносная программа предназначена для сбора информации о зараженной системе, котоаря впоследствии может использовать для шпионажа», — объясняет старший аналитик компании McAfee.

Помимо основного вредоноса, идентифицированного как Syscon, во вредоносной кампании используется Win32-дроппер, получивший имя MaoCheng. Он отметился тем, что использует цифровую подпись от Adobe Systems.

«Это попытка обойти механизмы безопасности в Windows», — комментирует специалист McAfee.

Мамонт в TikTok: мошенники скупают аккаунты подростков

Мошенники начали активно привлекать подростков через TikTok, предлагая им сдать в «аренду» свои аккаунты на сервисах бесплатных объявлений. В дальнейшем такие учётные записи используются для размещения фейковых предложений и мошеннических схем. В компании F6 отмечают, что одной из причин распространения этой практики стало ужесточение правил по количеству сим-карт: мошенникам стало сложнее регистрировать аккаунты на подставных лиц, как это происходило раньше.

Подросткам обещают вознаграждение в размере от 7 до 18 тыс. рублей за предоставление доступа к своему аккаунту. Злоумышленники, как правило, представляются сотрудниками рекламных агентств или торговых компаний.

По их словам, учётные записи якобы будут использоваться для продажи легальных товаров — например, бытовой техники или электроники.

 

Среди условий «аренды» — возраст владельца аккаунта старше 14 лет, подтверждение личности и срок регистрации не менее 90 дней. Кроме того, подросткам запрещают самостоятельно пользоваться учётной записью без разрешения «арендатора».

Далее владельца аккаунта перенаправляют в телеграм-бот, где требуется ввести учётные данные. После этого ему предлагают связаться с «оператором», который демонстрирует пример объявления, а затем — с другим представителем для обсуждения получения предоплаты.

 

Деньги предлагают получить через оформление зарплатной карты в банке, где у подростка ранее не было счетов. Предпочтение отдают кредитным организациям с реферальными программами за привлечение «друзей» — это становится дополнительным источником дохода для злоумышленников.

Киберпреступники используют такие приманки, например, в популярной мошеннической схеме «Мамонт», связанной с кражей денег пользователей и данных банковских карт при покупке-продаже несуществующих товаров, туристических путёвок и бронировании жилья.

 

Как предупреждает аналитик департамента Digital Risk Protection компании F6 Анастасия Князева, согласившиеся на такие предложения рискуют быть обманутыми дважды. Во-первых, обещанное вознаграждение они, скорее всего, не получат. Во-вторых, передавая управление аккаунтом третьим лицам, подростки нарушают правила сервисов и могут потерять доступ к своим учётным записям.

 

Предложения об аренде аккаунтов, которые распространяются преимущественно через социальные сети и мессенджеры, стали одной из самых распространённых схем атак на российских детей и подростков в 2025 году. По оценкам экспертов, с попытками мошенничества сталкивались более 80% подростков.

RSS: Новости на портале Anti-Malware.ru