Киберпреступники снова взялись за спуфинг

Киберпреступники снова взялись за спуфинг

Киберпреступники снова взялись за спуфинг

Спуфинг стал самой популярной техникой атак с отправкой вредоносных писем, выяснили эксперты F.A.С.С.T. Речь о данных за первый квартал 2023 года. Чаще всего “на борту” опасных рассылок находились стилеры и программы-шпионы.

Специалисты компании F.A.С.С.T. (теперь так называется российский бизнес компании Group-IB) проанализировали вредоносные рассылки, обнаруженные системой Managed XDR и выявили, что спуфинг использовался злоумышленниками в электронных рассылках в 67,5% атак.

Эта популярная у киберпреступников техника эксплуатирует проблему почтового протокола SMTP, которая позволяет с помощью множества доступных инструментов — подходящего почтового клиента, скрипта или утилиты — подделать адрес отправителя. 

В итоге пользователь считает, что письмо отправлено с легитимного адреса. Таким образом преступники быстро входят в доверие к получателям сообщений и убеждают открыть вложение или перейти по ссылке, тем самым загрузив на свое устройство вредоносную программу. 

Спуфинг использовался при точечных атаках на российские благотворительные фонды еще в 2020-2021 годах. Тогда сотрудники получили поддельные письма от руководства с просьбой перевести средства по указанным реквизитам. 

За прошедший год спуфинг был замечен в рассылках по российским компаниям шпионов и стилеров с зараженных компьютеров и смартфонов пользователей. В некоторых случаях злоумышленники подставляли в поле “отправитель” почтовые адреса компаний, в которых работали получатели.

Второй по популярности техникой при рассылке вредоносных писем (18,7% случаев) в начале 2023 года стала регистрация почтовых доменов, похожих на адреса электронных ящиков реальных компаний (пример: hotemail[.]top вместо легитимного hotmail[.]com). 

Создание собственных доменных имен позволяет письмам злоумышленников обходить базовую проверку протоколов электронной почты.

Взломанные, то есть скомпрометированные почтовые учетные записи или доменные имена, были замечены в 8% атак по электронной почте. Этот способ, как правило, наиболее опасен для получателей писем, так как отправитель кажется абсолютно легитимным как для получателя, так и для большинства стандартных средств фильтрации электронной почты.

Меньше всего злоумышленники используют рассылку писем с помощью бесплатных почтовых сервисов — их замечено в 5,8% обнаруженных писем с вредоносным содержанием. Чаще всего берут сервисы: Gmail — 41,1% случаев, HotMail (28,8%) и Yahoo (9,9%).

“Электронная почта остается одним из основных векторов атак на компании, особенно когда речь идет о распространении программ-шпионов или стилеров”, — комментирует цифры руководитель Security operations center (SOC) компании F.A.С.С.T. Ярослав Каргалев. По его словам, злоумышленники стали тщательно готовить рассылки и внимательнее относиться к оформлению писем. При этом относительно простой спуфинг остается техникой номер один для маскировки вредоносных рассылок.

Астрал подтвердил целевую кибератаку после недельного сбоя сервисов

ГК «Астрал» впервые подробно прокомментировала масштабный сбой, который уже несколько дней влияет на работу её сервисов. Компания официально признала, что 9 июня подверглась серии целенаправленных хакерских атак.

По словам представителей «Астрала», именно атака стала причиной остановки ряда сервисов.

С первого дня специалисты компании работают над восстановлением инфраструктуры в круглосуточном режиме, а полностью завершить восстановление планируется 16 июня.

В компании также сообщили, что параллельно началось расследование с участием государственных органов в сфере информационной безопасности. По этой причине «Астрал» была ограничена в возможности публично комментировать происходящее.

Один из главных вопросов клиентов — что с данными? Здесь компания пытается успокоить пользователей. По результатам проведённой проверки признаков утечки или компрометации данных не обнаружено. Более того, защитные механизмы после инцидента были дополнительно усилены.

Почему восстановление заняло почти неделю? В «Астрале» объясняют это необходимостью полной проверки каждого сервиса перед возвращением в эксплуатацию. Компания подчёркивает, что не собирается жертвовать безопасностью ради более быстрого запуска.

По состоянию на сегодняшний день большая часть сервисов уже работает в штатном режиме. Последними должны вернуться в строй ОФД и оставшиеся компоненты экосистемы.

Отдельно компания заявила, что взаимодействует с контролирующими органами, чтобы последствия инцидента не отразились на клиентах. Для пользователей также подготовлены официальные письма, подтверждающие, что проблемы возникли на стороне инфраструктуры оператора.

Таким образом, спустя неделю после начала сбоев «Астрал» фактически подтвердил то, о чём многие пользователи и так догадывались: причиной проблем стала не техническая ошибка и не авария, а полноценная кибератака на инфраструктуру компании.

RSS: Новости на портале Anti-Malware.ru