Злоумышленники мобилизовались — раздают вредоносный софт под видом повестки

Злоумышленники мобилизовались — раздают вредоносный софт под видом повестки

Эксперты «Лаборатории Касперского» предупреждают о вредоносной рассылке на тему частичной мобилизации в России. С начала текущего месяца защитные решения ИБ-компании заблокировали несколько сотен писем, нацеленных на заражение пользовательских Windows-машин.

Получателю сообщают о необходимости срочно явиться в назначенное место и время — якобы из-за того, что он не отреагировал на повестку в PDF-формате (приводятся некий номер и ссылка). В случае неявки «призывнику» грозит штраф или даже уголовное преследование.

По свидетельству аналитиков, вредоносные послания хорошо выполнены и выглядят правдоподобно. В теле письма содержатся ссылки на статьи УК РФ, используются геральдика и стилистика соответствующего ведомства.

Единственная цель такого сообщения — заставить получателя перейти по вредоносной ссылке. Если тот будет действовать быстро и необдуманно, на его компьютер загрузится архивный файл, содержащий WSF. При запуске этот скрипт скачивает и открывает в браузере маскировочный PDF-документ (фейковый скан повестки); параллельно в папке временных файлов создается AnalysisLinkManager.exe и запускается на исполнение.

Исследователи не преминули отметить, что используемые в имейл-атаках вредоносный софт и техники напоминают инструменты кибергруппы XDSpy, специализирующейся на шпионаже, а также краже данных и ключей к корпоративной почте. В частности, с версиями прошлых лет совпадают исходный код вредоносного WSF-скрипта и способы запуска, названия файлов тоже отчасти схожи.

«В этой кампании используется ряд техник, позволяющих злоумышленникам проникнуть и закрепиться в системе — таргетированные фишинговые рассылки, имитация писем регуляторов, использование актуальной новостной повестки, вывод на экран изображения, которое ожидает пользователь, — комментирует Андрей Ковтун, руководитель группы защиты от почтовых угроз в составе «Лаборатории Касперского». — Такие атаки непросто обнаружить, поэтому компаниям важно внедрять комплексные системы защиты, а также обучать сотрудников правилам кибербезопасности».

Для предотвращения целевых атак Kaspersky рекомендует организациям следующее:

  • использовать комплексные решения для защиты инфраструктуры от кибератак любой сложности, такие как Kaspersky Symphony XDR;
  • применять специализированное решение, которое сочетает функции детектирования и реагирования с функциями threat hunting и позволяет распознавать известные и неизвестные угрозы без привлечения внутренних ресурсов компании;
  • предоставлять SOC-команде доступ к актуальной информации о киберугрозах;
  • проводить тренинги для специалистов по реагированию на киберинциденты, а прочих сотрудников учить распознавать элементы социальной инженерии.

Частичная мобилизация в России — горячая тема, и злоумышленники торопятся ею воспользоваться. Первыми новый повод оценили мошенники — они начали продавать в соцсетях и мессенджерах «белые» военные билеты и поддельные документы для выезда за границу. Получив предоплату и бонус в виде ПДн, аферисты исчезают.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фишеры атакуют небольшие российские организации под видом компании из Дубая

В новой фишинговой кампании киберпреступники пытаются достать учётные данные от почтовых ящиков сотрудников небольших российских организаций. Для прикрытия используется некая дубайская компания, которую интересует наличие продукта.

Как выяснили специалисты «Лаборатории Касперского», злоумышленники пишут целевым сотрудникам от имени главы отдела закупок дубайской компании. Их интересует наличие того или иного товара или аналогичные модели.

Подробностей в этих электронных письмах нет, зато есть ссылка, которая с виду ведёт на файлообменник, где можно посмотреть детали заказа на поставку. Если работник кликнет по такому URL, его переведут на фейковую страницу, имитирующую окно аутентификации популярного почтового сервиса.

Само собой, введя логин и пароль на этой странице, вы отправляете их прямиком в руки фишеров, а у последних появляется полный доступ к вашему почтовому ящику.

Более того, заполучив контроль над вашим имейлом, злоумышленник может сбрасывать пароли на других сайтах (где ящик использовался при регистрации).

Киберпреступники предусмотрительно составляют фишинговые письма на русском языке, причём делают это даже без опечаток, как отметили исследователи из Kaspersky.

Тем не менее можно сразу отметить несколько моментов, как минимум вызывающих подозрения: например, письмо приходит с личного, а не корпоративного имейла; более того, отправитель обращается на «ты» и начинает письмо со слова «привет». Такое, конечно, недопустимо в деловой переписке.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru