Вымогательство а-ля Luna Moth: вишинг и кража данных без участия зловредов

Вымогательство а-ля Luna Moth: вишинг и кража данных без участия зловредов

Вымогательство а-ля Luna Moth: вишинг и кража данных без участия зловредов

Эксперты Palo Alto Networks выявили вымогательскую кампанию, в ходе которой злоумышленники используют адресные рассылки и вишинг. Намеченную жертву под любым предлогом просят позвонить по указанному номеру, а затем в ходе разговора убеждают предоставить удаленный доступ к компьютеру; согласие открывает возможность для кражи данных с целью получения выкупа.

Автором текущих целевых атак, по данным Palo Alto, является кибергруппа Luna Moth, она же Silent Ransom. Поддельные письма вначале рассылались на адреса небольших юридических компаний, позднее вымогатели переключились на крупный ретейл и уже выманили у жертв сотни тысяч долларов.

Примечательно, что злоумышленники стараются сократить до минимума свой цифровой след: широко используют социальную инженерию и пускают в ход лишь легитимные инструменты. Жертву обрабатывают по схеме TOAD, которую также практикуют мошенники, притворяющиеся техподдержкой; с этой целью Luna Moth создала колл-центры, зарегистрировала множество телефонных номеров у VoIP-провайдеров и открыла аккаунты на веб-сервисе Zoho Assist. 

Распространяемые поддельные сообщения кастомизируются с учетом характера выбранной цели и не содержат вредоносных вложений или ссылок. Приманкой обычно служит инвойс или платная подписка, якобы оформленная на имя получателя.

 

К фальшивке прикреплен безобидный PDF-документ, в котором указан номер телефона для связи на случай возникновения вопросов — например, для отмены подписки, по которой скоро начнут снимать деньги с карты. В ранних рассылках Luna Moth для большей правдоподобности использовала логотип компании-отправителя, которую она имитировала, сейчас авторы атак ограничиваются приветственным заголовком.

 

Номера телефонов для жертв вначале повторялись, а позднее стали уникальными; адресату также могут предоставить выбор из нескольких вариантов. При вызове собеседник в ходе разговора высылает приглашение присоединиться к сеансу удаленной поддержки через Zoho Assist — якобы для большего удобства. Если жертва согласится, мошенник перехватит управление ее клавиатурой и мышью, включит доступ к буферу обмена и размоет экран, чтобы скрыть дальнейшие действия от пользователя.

После этого в систему устанавливается инструмент удаленного управления Syncro, чтобы обеспечить стороннее присутствие, а также менеджер файлов Rclone или клиент WinSCP — для выкачивания ценных данных с компьютера и подключенных сетевых ресурсов. Процесс в этом случае может занять от нескольких часов до пары недель.

Если у жертвы нет админ-прав, автор атаки не пытается закрепиться в системе, а сразу переходит к краже данных с помощью WinSCP Portable — прямо во время телефонной беседы. В ходе инцидентов, попавших в поле зрения Palo Alto, злоумышленники не пытались продвинуться дальше по сети и довольствовались тем, что нашли у жертвы.

После кражи информации пострадавшему высылается письмо с требованием выкупа; его размер составляет от двух до 78 биткоинов, в зависимости от платежеспособности атакованной организации. Каждой жертве назначается свой криптокошелек, тем, кто проводит платеж в заданные сроки, предоставляется скидка в 25%. Неплательщикам могут угрожать потерей репутации — вымогатели обещают рассказать о случившемся крупным клиентам жертвы, называя их имена.

Заявки на ремонт сетевого оборудования в России выросли на 120%

Российские компании всё чаще выбирают ремонт и обслуживание сетевого оборудования вместо его замены. И дело не только в экономии. По данным «К2Тех», количество обращений бизнеса по вопросам ремонта и обслуживания корпоративной сетевой инфраструктуры по итогам 2025 года выросло сразу на 120%.

При этом число самих заказчиков увеличилось всего на 8%. Для сравнения: годом ранее количество заявок росло лишь на 9%.

Одна из главных причин — стареющее оборудование зарубежных производителей, прежде всего Cisco и Huawei. После ухода части вендоров с российского рынка и сокращения возможностей параллельного импорта компаниям всё сложнее находить замену вышедшим из строя устройствам.

В результате бизнес начал выжимать максимум из имеющейся техники. Как отмечают в Т1, многие организации сегодня пытаются продлить срок службы оборудования до 10–12 лет вместо традиционного цикла обновления.

Чаще всего ломаются блоки питания, вентиляторы и линейные карты. Но проблема уже выходит за рамки обычного износа. По словам экспертов, значительная часть установленного оборудования фактически приближается к пределу своего жизненного цикла.

Ситуацию осложняет и технологический зоопарк, который сегодня встречается во многих компаниях. В одной инфраструктуре могут одновременно работать российские, азиатские и западные решения. Всё это приходится интегрировать между собой, а поиск причин сбоев становится всё более сложной задачей.

Дополнительные сложности создают устаревшая документация, отсутствие единых стандартов управления сетями и нехватка специалистов.

В Softline отмечают, что проблема уже не сводится только к возрасту оборудования. Инфраструктуры становятся более распределёнными, растут объёмы данных, появляются облачные сервисы, усиливаются требования к кибербезопасности. В результате даже исправная техника может не справляться с новыми нагрузками.

Рост обращений продолжается и в 2026 году. По данным Т1, только в феврале число заявок увеличилось на 19% по сравнению с январём, а в марте выросло ещё на 10%.

Эксперты не ждут быстрого улучшения ситуации. По оценкам «К2Тех», выйти на плато рынок сможет не раньше чем через пять лет. До этого момента бизнесу, вероятно, придётся и дальше поддерживать работоспособность старого «железа», потому что покупка нового оборудования всё чаще обходится в десятки миллионов рублей.

RSS: Новости на портале Anti-Malware.ru