Рассылки Silence велись с российских серверов и поразили ЦБ масштабом

Олег Иванов 21 Января 2019 - 09:48

...

Центральный банк России заинтересовался информацией об атаках киберпреступной группировки Silence. В первую очередь ЦБ поразил масштаб вредоносной кампании, в ходе которой одному лишь Сбербанку было направлено 1,5 тысяч вредоносных писем. Еще один интересный момент, который отметил регулятор, — рассылка осуществлялась с серверов, расположенных в России.

Центробанк на прошлой неделе разослал кредитным организациям предупреждения об атаках Silence, среди прочей информации в них говорилось о том, что группировка распространяет вредоносную программу, прикрываясь несуществующими банками: ICA, «Урал Развитие», «Финансовая перспектива», CCR, ЮКО, «БанкУралпром».

Также злоумышленники использовали тему приглашения на форум iFIN-2019 в качестве приманки.

Подробнее об атаке рассказали представители Сбербанка, слова которых предоставил «Ъ»:

«На средствах защиты по состоянию на 18 января зафиксированы и успешно заблокированы 1,5 тыс. вредоносных писем, имеющих отношение к рассылке Silence. Рассылка продолжается, мы осуществляем усиленный контроль развития данной серии атак».

Со своей стороны, Банк России отметил, что масштабы кампании, конечно, выходят за рамки стандартных, однако нельзя сказать, что был отмечен «чрезвычайно большой объем» вредоносных электронных писем.

Помимо этого, специалисты говорят о грамотном использовании социальной инженерии, которое продемонстрировали представители Silence. Например, операционный директор центра мониторинга и реагирования на кибератаки «Ростелеком-Solar» Антон Юдаков заявил следующее (также цитата «Ъ»):

«Достаточно серьезно вкладываясь в инструменты, эта группировка обычно очень мало модифицирует и усложняет "социальный" вектор рассылки, используя типовые фишинговые уловки. Однако на этот раз присутствовал крайне правдоподобный текст письма, идеально повторяющего официальное приглашение на профильную конференцию».

На прошлой неделе мы писали, что киберпреступная группа Silence организовала новые атаки. В ходе вредоносных рассылок, которые уже успели пройти с начала года, были атакованы 80 000 получателей — сотрудников российских кредитно-финансовых организаций, среди которых основную долю занимают банки и крупные платежные системы.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Читайте также

Хакеров не обошли молчанием

В России обнаружен Android-шпион ClayRat, маскирующийся под WhatsApp*

Екатерина Быстрова 10 Октября 2025 - 09:04

Android Трояны Домашние пользователи

В России обнаружен Android-шпион ClayRat, маскирующийся под WhatsApp*

Специалисты компании Zimperium обнаружили быстро развивающуюся шпионскую кампанию под названием ClayRat, нацеленную на пользователей Android в России. Злоумышленники распространяют вредоносные приложения через телеграм-каналы и поддельные сайты, маскируясь под популярные сервисы: WhatsApp*, TikTok, Google Photos и YouTube.

После установки программа превращает смартфон в настоящий инструмент слежки: ClayRat может читать СМС, собирать историю звонков, уведомления и системные данные, а также делать снимки с фронтальной камеры, совершать звонки и отправлять сообщения от имени владельца.

Кроме того, вредонос распространяется дальше — он рассылает ссылки на заражённые сайты всем контактам из адресной книги. Таким образом злоумышленники превращают взломанные устройства в своеобразные «точки распространения» атаки.

За последние три месяца исследователи зафиксировали более 600 образцов ClayRat и около 50 дропперов — упрощённых загрузчиков вредоносных файлов. С каждой новой версией разработчики добавляют новые механизмы сокрытия, чтобы обойти антивирусы и системы защиты Android.

Zimperium отмечает, что злоумышленники используют хитрую схему обмана: пользователей перенаправляют на фейковые сайты, где якобы можно скачать «новую версию YouTube Plus» или другое популярное приложение. Чтобы внушить доверие, авторы кампании подделывают отзывы и количество загрузок.

В некоторых случаях ClayRat устанавливается через поддельное окно обновления Google Play, при этом настоящий вредоносный код спрятан внутри зашифрованных данных приложения. Этот приём помогает обойти ограничения Android 13 и новее, где установка APK вне Google Play стала сложнее.

После установки ClayRat просит назначить себя приложением по умолчанию для СМС, чтобы получить полный доступ к переписке и другим сообщениям. Далее он связывается с сервером управления (C2) через обычные HTTP-запросы и начинает передавать собранную информацию злоумышленникам.

Эксперты называют ClayRat одной из самых опасных Android-угроз последнего времени — не только из-за его функций шпионажа, но и из-за способности автоматически заражать другие устройства, распространяясь без участия человека.

* принадлежит корпорации Meta, признанной экстремистской и запрещённой в России