Взломщики используют Microsoft Quick Assist для распространения вредоноса

Взломщики используют Microsoft Quick Assist для распространения вредоноса

Взломщики используют Microsoft Quick Assist для распространения вредоноса

Банда киберпреступников использует приложение Quick Assist от Microsoft в атаках с использованием социальной инженерии. Жертв заржают программой-вымогателем Black Basta.

Представители корпорации из Редмонда заявили, что к данным атакам причастна финансово мотивированная группа Storm-1811, которая развернула свою кампанию еще в середине апреля.

Quick Assist — приложение, установленное по умолчанию в Windows 11, которое позволяет предоставить доступ к своему компьютеру на Windows или macOS другим пользователям через удаленное подключение. Злоумышленники могут выдавать себя за сотрудников техподдержки и обманным путем заставить людей предоставить им полный доступ к целевому устройству. 

В среду компания Microsoft опубликовала сообщение, в котором говорится, что ведется расследование использования приложения в преступных целях. Windows-гигант работает над тем, чтобы не потерять доверие пользователей к сотрудникам службы поддержки Quick Assist. Пока сложно сказать, сколько клиентов пострадало. Чтобы снизить риск мошеннических действий, Microsoft задумывается о включении предупреждающих сообщений в приложении.

Компания напомнила пользователям о возможности блокировки или удаления Quick Assist, а также других инструментов удаленного управления с устройства, если они ими не пользуются.

Клиенты, которые хотят исключить эксплуатацию приложения, могут использовать индикаторы компрометации и запросы для самостоятельного поиска зловредной активности в своих сетях. Например, подозрительное поведение curl, вредоносное использование прокси или инструмента туннелирования.

Специалисты поделились, как проходят атаки. С помощью голосового фишинга преступники Storm-1811 выдают себя за службу техподдержки приложения и убеждают пользователя предоставить доступ к устройству через Quick Assist. Злоумышленники используют разные схемы давления, например, забрасывают  жертву спамом, а потом предлагают помощь в устранении проблемы.

Пользователь предоставляет доступ к своему устройству благодаря ключевой команде и коду безопасности, которым делится преступник. Поделившись экраном и одобрив запрос управления компьютером, жертва помогает мошеннику получить полный контроль.

Далее злоумышленники доставляют вредоносную полезную нагрузку и программу для удаленного мониторинга и управления (RMM).

Постоянный доступ к взломанному устройству дает возможность преступникам перемещаться латерально по сети жертвы. Затем Storm-1811 использует PsExec для развертывания программы-вымогателя Black Basta.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники стали в 16 раз чаще звонить с поддельных номеров из-за рубежа

За последнюю неделю количество фейковых звонков с иностранных номеров в Россию выросло в 16 раз. Об этом рассказали в Сбере. Всплеск удалось заметить в том числе благодаря пользователям, которые отправляли жалобы через раздел «Сообщи о мошеннике» в приложении СберБанк Онлайн.

Такие звонки — не новость: злоумышленники давно используют облачные АТС, где можно быстро взять в аренду номер с кодом другой страны.

Чаще всего — европейских. Иногда — стран с «похожими» номерами (например, +84 95), чтобы выглядело более правдоподобно. Всё это делается через IP-телефонию, что позволяет обходиться без операторов сотовой связи и затрудняет блокировку.

Зампред правления Сбера Станислав Кузнецов отметил, что несмотря на резкий рост таких звонков, в общем объёме мошеннических вызовов их пока немного. Антифрод-система банка их фиксирует и ставит подозрительные операции на усиленный контроль — благодаря этому удаётся избегать хищений.

Но в банке всё равно призывают не терять бдительность:

«Если вам звонят с незнакомого номера из-за границы — просто не отвечайте. Если у вас нет родных или деловых контактов за рубежом, то такие звонки почти наверняка мошеннические».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru