Российский софт для удалённого доступа используется в целевых атаках

Киберпреступная группировка Quartz Wolf, занимающаяся целевыми атаками, нацелилась на гостиничный бизнес. Судя по всему, эти киберпреступники первыми использовали российскую программу для удалённого доступа, с помощью которой обходят защитные средства.

Ранее, если злоумышленники задействовали в кампаниях софт для удалённого доступа, это были, как правило, всемирно признанные TeamViewer, AnyDesk и AmmyAdmin.

По словам управления киберразведки BI.ZONE, до Quartz Wolf никто не догадался использовать именно отечественную программу с такой функциональностью. Ход достаточно логичный, если учесть, что сейчас бизнес заставляют переходить на отечественные аналоги и всячески импортозамещаться.

Группа Quartz Wolf организовала свои атаки таким образом, чтобы обходить антивирусные и другие средства защиты. Российский софт повышает шансы остаться незамеченной в системах жертв.

Всё начинается с фишинговых писем от лица организации «Федеральный Гостиничный Сервис», помогающей передавать данные о регистрации в МВД. Злоумышленники пытаются привлечь внимание сотрудников изменениями в процедуре регистрации, с которыми организации якобы нужно срочно ознакомиться.

В письме есть ссылка на «новые правила», по ней скачивается архив. Если сотрудник попытается открыть этот файл, на компьютер установится программа для удалённого доступа — «АССИСТЕНТ».

С помощью этого софта Quartz Wolf может управлять целевой системой, красть файлы, модифицировать реестр, задействовать командную строку Windows и многое другое.