Fancy Bear используют тему BREXIT для вредоносных рассылок

Fancy Bear используют тему BREXIT для вредоносных рассылок

Fancy Bear используют тему BREXIT для вредоносных рассылок

Киберпреступники быстро подхватили ажиотаж вокруг темы выхода Великобритании из Европейского союза (BREXIT). В тот же день, когда премьер-министр Тереза Мэй продемонстрировала драфт соглашения, была зафиксирована массовая рассылка вредоносных писем, темой которых был BREXIT.

Об этом сообщили аналитики Accenture, которые полагают, что за этой вредоносной кампанией стоят «российские хакеры», известные под именем Fancy Bear.

«Как только Тереза Мэй объявила о BREXIT, были зафиксированы вредоносные рассылки, инициированные SNAKEMACKEREL [так в компании называют Fancy Bear — прим. ред.]. В рассылаемых письмах содержался вредонос Zekapab, также известный как Zebrocy», — говорится в опубликованном Accenture отчете.

Zebrocy представляет собой бэкдор. Как отметили в Accenture, рассылка вредоносных документов была зафиксирована 15 ноября. Загрузка вредоносного контента осуществлялась из внешнего источника, при этом использовался компонент settings.xml.rels, встроенный в файлы DOCX.

Загружаемый из внешнего источника компонент содержал функцию под названием AutoClose() и два пейлоада, встроенных с помощью Base64. Проанализировав IP-адрес (109.248.148.42), который участвовал в атаках, эксперты обнаружили два разных компонента .dotm: attachedTemplate.dotm и templates.dotm. Оба компонента содержали макрокод VBA.

«Анализ двух бинарников показал, что они написаны на Delphi», — пишут в отчете эксперты.

Вредоносная программа собирает информацию о системе, фиксирует список запущенных процессов и отправляет это все на командный сервер C&C. В ответ сервер отправляет вредоносную составляющую второго уровня.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

МВД и ФСБ раскрыли аферы с Пушкинскими картами в Рязани и Новосибирске

Сотрудники УМВД по Новосибирской и Рязанской областям совместно с региональными управлениями ФСБ России выявили масштабные мошеннические схемы с использованием программы «Пушкинская карта». Общий ущерб составил более 30 млн рублей.

Как сообщила официальный представитель МВД Ирина Волк, злоумышленники действовали по схожей схеме.

Они регистрировались на платформе PRO.Культура.РФ и размещали там анонсы несуществующих культурных мероприятий. На такие «мероприятия» продавались билеты, которые оплачивались с помощью «Пушкинских карт». Полученные средства аферисты присваивали.

По данным следствия, бывший заведующий отделом одного из рязанских музеев с марта 2023 года по май 2024 года организовал через посредников фиктивную продажу билетов по «Пушкинским картам». Деньги выводились через родственников и знакомых, зарегистрированных в качестве индивидуальных предпринимателей.

С ними заключались договоры на проведение якобы культурных мероприятий. Таким образом злоумышленнику удалось получить около 10 млн рублей.

Аналогичную схему использовала группа жителей Новосибирска, действовавшая с мая по июль 2022 года. Они занимались фиктивной продажей билетов на несуществующие экскурсии, оплата которых также проходила через «Пушкинские карты». Общая сумма похищенных средств составила 22,5 млн рублей.

В ходе обысков у подозреваемых были изъяты крупные суммы наличных, банковские карты, средства связи, компьютерная техника и другие предметы, имеющие доказательственное значение.

По обоим эпизодам возбуждены уголовные дела по ч. 4 ст. 159 УК РФ (мошенничество в особо крупном размере). Фигурантам грозит до 10 лет лишения свободы. На время следствия они находятся под подпиской о невыезде.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru