Фишеры используют фейковую ошибку OneDrive для запуска PowerShell-скрипта

Фишеры используют фейковую ошибку OneDrive для запуска PowerShell-скрипта

Фишеры используют фейковую ошибку OneDrive для запуска PowerShell-скрипта

Киберпреступники запустили новую фишинговую кампанию, нацеленную на пользователей Microsoft OneDrive. С помощью приёмов социальной инженерии злоумышленники заставляют жертв запустить PowerShell-скрипт.

О новой активности фишеров сообщили исследователи из компании Trellix, присвоившие ей кодовое имя «OneDrive Pastejacking». Рафаэль Пенья, один из экспертов, пишет в блоге:

«Эта кампания плотно завязана на использовании социальной инженерии. Задача — заставить пользователей выполнить скрип PowerShell, что приведёт к компрометации системы».

Всё начинается с электронного письма, в котором содержится HTML-файл, при открытии которого получателю демонстрируется страница OneDrive с сообщением об ошибке:

«Невозможно соединиться с облачным сервисом OneDrive. Для устранения ошибки вам нужно обновить DNS-кеш вручную».

 

В этом сообщении есть две опции: «Как исправить» и «Детали». Последняя перенаправляет пользователя на подлинную страницу Microsoft Learn, посвящённую устранению неполадок с DNS.

Если же кликнуть на первую ссылку («Как исправить»), получателю предложат выполнить ряд шагов, включая нажатие комбинации клавиш «Windows + X», запуск PowerShell-терминала и вставку Base64-команды, которая должна устранить проблемы.

«Эта команда сначала запустит ipconfig /flushdns и создаст директорию “downloads“ в корне диска C. Далее она загрузит архив в эту папку, переименует его и распакует содержимое», — объясняет Пенья.

«В архиве лежат файлы script.a3x и AutoIt3.exe. Первым делом стартует последний, с помощью которого запускается скрипт script.a3x».

Мантуров: Механизм управления объектами КИ не подразумевает национализацию

Российские власти смогут вводить временное управление на критически важных объектах, владельцы которых игнорируют требования безопасности. Первый вице-премьер Денис Мантуров заверил, что массовой кампании и национализации не намечается: решения будут принимать точечно и на самом высоком уровне.

Соответствующий указ Владимир Путин подписал 24 августа. Механизм можно задействовать, если собственник не принимает или несвоевременно принимает меры безопасности, а его бездействие создаёт риски для целой отрасли.

По словам Мантурова, сначала федеральные органы будут указывать владельцам на проблемы и помогать их устранять. Если собственник продолжит делать вид, что всё под контролем, государство сможет временно забрать управление, организовать защиту предприятия от атак и восстановить его работу.

В перечень попали объекты топливно-энергетического комплекса, промышленности, связи, энергетики, транспорта, логистики, коммунальной инфраструктуры и систем жизнеобеспечения.

Управление может распространяться на имущество, ценные бумаги и имущественные права предприятия. При этом временный управляющий не получает права распоряжаться имуществом, например продавать его.

Расходы на управление планируют покрывать за счёт доходов самого объекта. Вернуть контроль собственнику правительство сможет также по поручению президента.

Власти объясняют появление механизма участившимися атаками на критическую инфраструктуру. Иными словами, частный статус больше не станет аргументом в споре о безопасности: если объект важен для отрасли, а хозяин ничего не делает, государство намерено вмешаться. Подробности у РБК.

RSS: Новости на портале Anti-Malware.ru