Кибершпионы Cloud Atlas вновь атакуют российский госсектор

Кибершпионы Cloud Atlas вновь атакуют российский госсектор

Кибершпионы Cloud Atlas вновь атакуют российский госсектор

В III квартале Positive Technologies зафиксировала новые атаки Cloud Atlas на территории России. Разбор одной из них показал, что техники и инструменты преступной группы практически не изменились.

Русскоязычная группировка Cloud Atlas, появившаяся на интернет-арене в 2014 году, специализируется на шпионаже и краже конфиденциальных данных. В Positive Technologies ее деятельность отслеживают с 2019 года; по данным ИБ-компании, хакеров в основном интересуют госструктуры России, Белоруссии, Азербайджана, Турции и Словении.

Целевые атаки Cloud Atlas обычно начинаются с поддельного письма с вредоносным вложением. В качестве приманки используются актуальные политические события, представляющие интерес для получателя сообщения.

Адреса отправителя сфальсифицированы, но выглядят убедительно. Так, одна из недавних вредоносных рассылок проводилась от имени «Лента.Ру», при этом письма отправлялись с аккаунта @lenta.ru, который позволяет создать Rambler.

 

Прикрепленный файл Word содержит маскировочный текст, скопированный из легитимного источника, в который вставлена ссылка на вредоносный шаблон на удаленном сервере. Этот файл может содержать макрос или эксплойт (например, CVE-2017-11882).

В ходе исследования специалисты выявили несколько схем многоэтапного заражения, использующих разные инструменты:

 

Своих вредоносов Cloud Atlas тщательно скрывает: использует обфускацию, документированные возможности Microsoft Office, легитимные облачные хранилища (OpenDrive), одноразовые запросы на получение полезной нагрузки.

«Все обнаруженные образцы имели достаточно большой размер, а также были обфусцированы, — комментирует Даниил Колосков, старший специалист отдела PT, занимающегося исследованием ИБ-угроз. — Почти все функции, расшифровывающие загрузчик, содержали большое количество полиморфного кода, используемого для затруднения анализа. Сам загрузчик хранился исключительно в памяти процесса и на диске никаким образом не присутствовал».

Все регистрируемые хакерами C2-серверы используются лишь для удаленной загрузки шаблонов. Исследователям удалось выявить семь таких адресов:

  • checklicensekey.com;
  • comparelicense.com;
  • driver-updated.com;
  • sync-firewall.com;
  • system-logs.com;
  • translate-news.net;
  • technology-requests.net (замаскирован под сайт Hoosier Heights — владельца скалодромов в штате Индиана).

Мошенники эксплуатируют тему налоговых льгот для семей с детьми

Платформа «Мошеловка» предупредила о массовой рассылке писем и сообщений с предложением оформить так называемую семейную налоговую выплату. Поводом для активности мошенников стало вступление в силу закона о возврате 7% налога на доходы физических лиц (НДФЛ) для семей с двумя и более детьми.

О волне рассылок в электронной почте и мессенджерах платформа сообщила через РИА Новости.

Как отметили в пресс-службе «Мошеловки», кампания носит агрессивный характер. При этом злоумышленники умалчивают о ключевой детали — прием заявлений на получение выплаты официально начнется только с 1 июля.

Мошенники, как предупреждают эксперты платформы, делают ставку на семьи с детьми — аудиторию, которая нередко испытывает финансовые трудности и заинтересована в получении положенных выплат как можно быстрее. Злоумышленники обещают ускоренное оформление, требуя за «посредничество» определенную сумму. В результате жертвы теряют не только деньги, но и передают мошенникам платежные реквизиты.

В «Мошеловке» напомнили, что оформление социальных выплат возможно только через официальные каналы — отделения Социального фонда России, МФЦ или портал «Госуслуги». Налоговый вычет оформляется либо при личном визите в инспекцию, либо через личный кабинет на сайте ФНС в сроки, указанные на nalog.gov.ru. Любые требования дополнительной оплаты за оформление государственных выплат — признак мошенничества.

Тема получения различных компенсаций и пособий традиционно активно эксплуатируется злоумышленниками. Основная цель таких схем — сбор потенциально ликвидных персональных данных, прежде всего номеров документов и платежных реквизитов. Последние особенно интересуют мошенников, работающих с налоговой тематикой.

RSS: Новости на портале Anti-Malware.ru