Группировка TA558 разослала 76 000 фишинговых писем за один день

Группировка TA558 разослала 76 000 фишинговых писем за один день

Группировка TA558 разослала 76 000 фишинговых писем за один день

Новая крупномасштабная фишинговая атака, организованная группировкой TA558, прошла 27 января и затронула российские и белорусские компании, работающие в сферах финансов, логистики, строительства, туризма и промышленности.

По данным аналитиков F.A.C.C.T., за один день злоумышленники с помощью специализированного программного обеспечения разослали фишинговые письма более чем 76 000 адресатам в 112 странах.

 

Письма содержали вложение, при открытии которого загружался и запускался RTF-документ, использующий уязвимость CVE-2017-11882. Этот документ загружал и активировал HTA-файл с обфусцированным VBS-сценарием, который, в свою очередь, устанавливал программу удаленного доступа Remcos RAT.

Данный софт позволяет злоумышленникам полностью контролировать устройство жертвы.

 

Группировка TA558 действует как минимум с 2018 года. В 2024 году аналитики F.A.C.C.T. Threat Intelligence зафиксировали более тысячи фишинговых кампаний, направленных на предприятия, госучреждения и банки в России и Беларуси.

Основная цель атак — кража данных и получение доступа к внутренним системам организаций. TA558 применяет многоэтапные схемы фишинга и активно использует методы социальной инженерии.

Весной 2024 года мы писали о волне атак TA558, в которых вредоносный код прятался в графическом изображении (стеганография). Кампанию назвали SteganoAmor.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники вновь задействуют схему с заменой полисов ОМС

Мошенники под предлогом замены полисов обязательного медицинского страхования (ОМС) пытаются получить доступ к личному кабинету гражданина на портале Госуслуг, после чего оформляют микрозаймы от его имени.

Подобные схемы фиксировались и ранее. Первая волна афер, связанных с якобы заменой полисов ОМС, наблюдалась осенью 2024 года — тогда злоумышленники действовали от имени страховых компаний.

Вторая волна активности была зафиксирована МВД в конце апреля 2025 года. Тогда мошенники представлялись сотрудниками Минздрава и убеждали установить фальшивое приложение, замаскированное под сервис страховой компании или министерства. В действительности оно содержало вредоносную программу.

О новой разновидности схемы сообщил РИА Новости эксперт по социотехническому тестированию Angara Security Яков Филевский:

«Злоумышленники вдохнули новую жизнь в старую мошенническую схему. Теперь под видом массовой замены старых полисов ОМС на новые с QR-кодом они получают доступ к финансовой информации граждан. Во время звонка они представляются сотрудниками страховых компаний и используют персональные данные — имя, отчество, дату рождения, — а также профессиональные термины, чтобы завоевать доверие».

По словам эксперта, мошенники стараются создать видимость официальной процедуры. Например, они утверждают, что готовый полис можно будет получить в МФЦ или офисе страховой компании, а уведомление якобы придёт через портал Госуслуг. В завершение разговора жертве предлагают подтвердить некое действие, сообщив код из СМС — именно это и является главной целью аферы. При этом злоумышленники не дают времени на обдумывание, торопят с ответами и стараются не оставить жертве шанса перепроверить информацию.

Получив доступ к аккаунту на Госуслугах, мошенники регистрируются на финансовых маркетплейсах и оформляют микрозаймы от имени жертвы. Для этого они изменяют контактные данные в профиле, чтобы человек не получил уведомления. В итоге пострадавший узнаёт о кредите не сразу и вынужден разбираться с его последствиями: испорченной кредитной историей, претензиями от кредиторов и необходимостью оспаривания долгов.

Эксперт напоминает: представители банков и госорганов никогда не просят сообщать коды из СМС. При получении подозрительного звонка его следует немедленно прекратить и проверить информацию напрямую — через официальные номера банков, МФЦ или страховой компании, либо на их сайтах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru